Anthropic запустила бесплатный сканер уязвимостей OSS Scanner для открытого кода

Anthropic открыла доступ к OSS Scanner — бесплатному сканеру уязвимостей для проектов с открытым исходным кодом. За полгода интенсивного сканирования компания обнаружила 29 000 кандидатов на уязвимости, но ручная проверка и триаж стали узким местом: вручную обработано только 6 000 отчётов. Несмотря на это, нехватка ресурсов не остановила распространение находок — мейнтейнеры часто просили получить все отчёты сразу, даже непроверенные. К настоящему времени 5 000 отчётов отправлено напрямую мейнтейнерам по их запросу. Теперь Anthropic предлагает быстрый путь: OSS Scanner работает в режиме fast-track, генерируя отчёты мгновенно после обнаружения, без ручной валидации.

Масштаб и качество находок

Anthropicюровая на бенчмарке NDCVE показывает, что языковые модели значительно улучшили способность находить уязвимости: с менее 20% в начале прошлого года до более 85% в текущем году. Эксперты по penetration testing проверили 97 critical и high-severity уязвимостей из OSS Scanner на 48 различных проектах. Результаты внушают: 85 отчётов (88%) соответствовали стандартам CVD процесса Anthropic. Из 12 оставшихся 11 дублировали известные проблемы, и лишь один был признан false positive — фактически ошибкой алгоритма. Первичные отчёты включали сотни bug-репортов, некоторые из которых удалось сцепить в цепочки, приводящие к unauthenticated remote code execution на тестируемых проектах.

Отчёты будут полностью генерироваться моделью без человеческой проверки — это ускоряет сканирование, но означает, что некоторые находки могут быть неверными или неприменимыми к контексту проекта. Для максимальной мощности Anthropic использует свои самые сильные модели, включая Claude Mythos.

Отзывы high-profile проектов

Anthropic потратила недели на валидацию pipeline с десятками open-source проектов, получив конкретные отзывы:

Noah Misch (PostgreSQL): «OSS Scanner обнаружила необычно много дефектов PostgreSQL. Несколько отчётов пришли с исправлениями, которые можно использовать почти как есть. Fast-track доступ позволил адресовать новые проблемы до выхода GA версии.»

Anton Arapov (OpenSSL Corporation): «Ранние AI отчёты 18 месяцев назад, до Project Glasswing, были ужасны. Отчёты от Anthropic, даже raw model output, столь же хороши или лучше, чем от людей. Когда отчёт идёт с готовым эксплойтом, для инженера это фактически готовое решение.»

Todd Ouska (wolfSSL): «Качество сигнала высокое: из 74 полученных отчётов все кроме двух валидны, пять стали CVE. С приложенными патчами отчёты сразу встраиваются в наш процесс проверки и исправления. Хотим больше.»

Eddie Kohler (HotCRP): «Отчёты подробные и ясные, с сильным пониманием сложной модели разрешений HotCRP и хорошей приоритизацией проблем.»

Daniel Stenberg (curl): «Мы используем все доступные state-of-the-art инструменты для поиска проблем и укрепления своих продуктов. OSS Scanner помогла найти несколько проблем в curl, достойных решения, включая одну из худших уязвимостей, о которых сообщали за последние годы.»

Отчёты содержат самодостаточные воспроизводители, объяснение уязвимостей (включая бисекцию для определения момента введения бага) и предложенные патчи.

Процесс и дополнительные программы

Anthropic вдохновлялась успехом OSS-Fuzz — проекта, сканирующего открытый код на уязвимости с помощью fuzzers. Сам OSS Scanner следует похожему принципу, но использует языковые модели вместо инструментов динамического анализа.

Компания продолжит отправлять проверенные вручную отчёты через existing coordinated vulnerability disclosure (CVD) process, особенно для проектов без ресурсов на самостоятельный триаж. Но fast-track вариант теперь открыт для всех, кто хочет быстро реагировать на находки.

Основные мейнтейнеры eligible проектов могут зарегистрироваться, отправив pull request в репозиторий Anthropic, используя стандартный шаблон. Projects становятся eligible на основе критериев OSS-Fuzz: должны иметь «critical impact on infrastructure and user security», решение принимается case-by-case.

Дополнительно доступны программы:

• Cyber Verification Program — предоставляет advanced cyber capabilities и reduced blocking classifiers для qualifying security professionals. • Claude Max 20x subscriptions — бесплатно для помощи в исправлении уязвимостей и улучшении OSS проектов.