Anthropic запускает OSS Scanner: бесплатные ИИ-проверки уязвимостей без людей

Anthropic запустила OSS Scanner, сервис поиска уязвимостей для open-source проектов. Цена для мейнтейнеров равна нулю, и людей в цикле проверки тоже ноль. Проекты, которые подадут заявку, будут получать «тщательные периодические проверки безопасности» от самых сильных моделей компании. Все отчёты сгенерирует ИИ, без ручного ревью и триажа.

Как это работает

Сервис построен на добровольном участии. Мейнтейнер оставляет заявку на странице red.anthropic.com, и его репозиторий попадает в очередь на регулярное сканирование. Разового аудита здесь нет. Anthropic обещает именно периодичность: код проверяют снова и снова, по мере того как он меняется.

В анонсе компания подчёркивает, что задействует свои сильнейшие модели, то есть ту же технику, которую обычно держат для платных клиентов и внутренних исследований. Для небольших проектов, у которых нет бюджета на коммерческий аудит и выделенной команды безопасности, это возможность получить сигнал о проблеме раньше, чем на неё наткнётся злоумышленник.

Ключевые параметры сервиса:

• Стоимость: бесплатно для участвующих проектов
• Режим подключения: opt-in, только по заявке мейнтейнера
• Частота: периодические повторные сканирования
• Движок: сильнейшие модели Anthropic
• Человеческая проверка: отсутствует, отчёты полностью сгенерированы моделью
• Известный риск: часть отчётов может быть неверной или невалидной

Цена скорости: отчёты без ревью

Главная оговорка сервиса в том, что Anthropic не скрывает отсутствия людей в процессе. В анонсе прямо сказано: результаты сканера будут полностью созданы моделью, без человеческой проверки и триажа. По словам компании, это позволяет сканировать быстрее и чаще. Там же признаётся, что отчёты могут оказаться некорректными.

Для open-source эта оговорка принципиальна. Мейнтейнеры, часто волонтёры, давно жалуются на поток низкокачественных автоматических сообщений об уязвимостях. Каждый ложный отчёт отнимает время, которого и так не хватает. Поэтому сервис в формате opt-in выглядит логично: нагрузку получают только те, кто сам согласился. Но проблема триажа никуда не делась, она просто переехала на сторону проекта. Кто-то должен отличить реальную дыру от галлюцинации модели.

Отдельный вопрос в том, как Anthropic будет работать с найденными проблемами. Из доступного описания понятно лишь, что отчёты идут без ручной фильтрации. Подробности процесса раскрытия информации стоит искать на странице сервиса.

Место в общей картине

ИИ-поиск уязвимостей давно стал отдельным направлением. Google развивает Big Sleep, OpenAI показывала агента Aardvark. Anthropic идёт тем же путём, но делает ставку на охват. Вместо закрытых пилотов с избранными партнёрами она открывает массовую запись для любых проектов, которые согласятся. Для компании это ещё и демонстрация практической пользы моделей в безопасности. Для экосистемы это попытка закрыть дефицит экспертизы там, где платить за аудит некому.

Кому и как подключаться

Если вы поддерживаете open-source проект, заявку стоит рассмотреть, особенно когда аудитов никогда не было. Бесплатное периодическое сканирование мало что стоит, а в лучшем случае выявит реальную уязвимость до публичного эксплойта.

Практический порядок такой:

1. Заложите время на триаж. Каждый отчёт нужно воспроизвести вручную, прежде чем считать его реальной проблемой. 2. Определите, кто в команде отвечает за разбор отчётов, и заранее договоритесь о приоритетах. 3. Не заменяйте сканером существующие практики: ревью кода, статический анализ, зависимости и fuzzing остаются на месте. 4. Проверьте, какие условия доступа к репозиторию и обработки результатов заявлены на странице сервиса, особенно для закрытых или чувствительных проектов.

Общий вывод простой. Anthropic предлагает дешёвый и быстрый источник сигналов о безопасности. Окончательное решение о том, какой сигнал настоящий, по-прежнему принимает человек.