Anthropic запустила бесплатный OSS Scanner на базе Claude Mythos для open source

Anthropic запустила OSS Scanner, бесплатный сервис, который регулярно проверяет проекты с открытым исходным кодом на уязвимости. Стоимость для мейнтейнеров равна нулю. Работу выполняют самые мощные модели компании, включая Claude Mythos.

Формулировка из анонса короткая, но в ней есть три существенных признака. Сервис бесплатный, то есть не пробный период и не урезанный тариф. Проверки регулярные, поэтому это постоянный мониторинг, а не разовый аудит перед релизом. И вместо облегчённой модели для массовых задач Anthropic ставит на сканирование флагманские разработки. Для компании, которая зарабатывает на подписках и API, это заметное решение: самые дорогие в эксплуатации модели отдаются под задачу, которая прямой выручки не приносит.

Почему целью выбран open source

Открытый код лежит в основе почти любого современного продукта, а следят за ним в основном волонтёры или крошечные команды. Heartbleed в OpenSSL в 2014 году и Log4Shell в Log4j в 2021-м показали, что одна невыявленная ошибка в малозаметной библиотеке превращается в проблему для сотен тысяч систем. Профессиональный аудит стоит дорого. Большинство проектов его никогда не получают.

ИИ-сканирование закрывает именно этот разрыв. Модель не устаёт, читает код целиком и может возвращаться к нему после каждого изменения. Для проекта на трёх мейнтейнеров это может означать разницу между «когда-нибудь проверим» и «проверено на прошлой неделе».

Есть и обратная сторона. Мейнтейнеры, в том числе проекта curl, публично жаловались на поток бессмысленных ИИ-отчётов об уязвимостях, которые приходится разбирать вручную. Любой сканер упирается в одну метрику: доля ложных срабатываний. Если отчёты точные и воспроизводимые, сервис сэкономит время. Если шумные, он добавит работы людям, у которых её и так избыток.

Чего в анонсе нет

Источник приводит лишь общее описание, и ключевые параметры пока не раскрыты. Вот что известно и что остаётся открытым:

• Разработчик: Anthropic.
• Стоимость: бесплатно.
• Периодичность: регулярное сканирование.
• Модели: самые мощные у компании, включая Claude Mythos.
• Объект: проекты с открытым исходным кодом.
• Не указано: критерии отбора проектов, лимиты на размер репозиториев, формат отчётов, порядок раскрытия найденных уязвимостей.

Последний пункт важнее остальных. Найденная уязвимость до выхода патча становится опасным знанием. От того, кто получает отчёт первым (только мейнтейнер или ещё и Anthropic) и какие сроки раскрытия действуют, зависит, будет сервис защитой или источником риска.

Что делать мейнтейнерам и компаниям

Мейнтейнерам стоит заранее выяснить условия подключения и убедиться, что отчёты приходят по закрытому каналу, например через приватные security advisories на хостинге кода. Первые результаты лучше проверять на небольшом модуле и отдельно считать долю воспроизводимых находок. Такой счёт покажет реальную пользу быстрее любых заявлений.

Компаниям, чей продукт стоит на open source, полезно сопоставить список зависимостей с проектами, которые подключатся к сервису. Если ключевая библиотека проверяется регулярно, это снижает риск. Но заменой собственного аудита и мониторинга CVE такая проверка не становится, пока неизвестны глубина анализа и доля пропущенных ошибок.

Главный вопрос на ближайшие месяцы: сколько реальных уязвимостей сервис найдёт и сколько времени отнимет у людей, которые их будут разбирать.