Масштаб и результаты запуска
Anthropic представила OSS Scanner — бесплатный инструмент для аудита критически важных open-source проектов. В отличие от традиционных методов, сканер использует самые мощные модели компании, включая Claude Mythos, и работает на инфраструктуре Anthropic. За первые 11 дней после запуска 8 октября 2026 года, сервис обработал 114 проектов (из 650 заявок) и выявил 77 критических и 803 высокорисковых уязвимости.
Ключевая особенность системы — отсутствие предварительного человеческого контроля. Отчеты отправляются мейнтейнерам напрямую, что ускоряет обнаружение, но перекладывает задачу триажа (проверки и приоритизации) на команды разработчиков.
Точность и валидация
Команда Anthropic провела независимую проверку 97 наиболее серьезных находок (критических и высоких уровней риска) в 48 проектах. Результаты превзошли ожидания:
- 88% (85 из 97) отчетов соответствовали стандартам процесса координационного раскрытия уязвимостей (CVD).
- Лишь 1 случай был признан ложным срабатыванием.
- 11 отчетов оказались дубликатами уже известных проблем или других находок сканера.
Подтверждение от сообщества: проект wolfSSL получил 74 отчета, из которых 72 оказались валидными, а 5 привели к присвоению CVE. Библиотека curl исправила уязвимость CVE-2026-92392 (High severity, use-after-free в HTTP/2), затронувшую версии 8.12.0–8.22.0, выпустив патч 14 октября 2026 года.
Как это работает технически
Процесс интеграции напоминает подход Google OSS-Fuzz, но с заменой фаззеров на LLM. Мейнтейнеры подают Pull Request в репозиторий anthropics/oss-scanner, добавляя файл project.yaml и путь к Dockerfile.
Аудит проходит в изолированной виртуальной машине без доступа к интернету. Агентная цепочка не только находит баги, но и:
- Генерирует самодостаточные репродьюсеры (воспроизводящие код).
- Проводит анализ первопричины (root cause analysis).
- Предлагает кандидатные патчи и бисекцию (поиск коммита, внесшего ошибку).
Сравнение с аналогами
Ниже приведена сравнительная таблица подходов к безопасности open-source проектов:
| Характеристика | Anthropic OSS Scanner | Google OSS-Fuzz | OpenAI Codex for OSS |
|---|---|---|---|
| Метод | LLM-агенты (Claude Mythos) | Фаззинг (libFuzzer, AFL++) | Агент Codex Security |
| Стоимость | Бесплатно (Anthropic) | Бесплатно | API-кредиты + ChatGPT Pro |
| Человеческий контроль до отчета | Нет | Не раскрыто | Да (валидация) |
| Содержимое отчета | Репродьюсер, объяснение, бисекция, патч | Отчеты о крашах | Находки с валидацией |
| Точность (выборка) | 88% валидности (85/97) | Не раскрыто | Снижение FP на 50%+ |
Почему это важно
Раньше модели Anthropic генерировали около 29 000 кандидатов в уязвимости за 6 месяцев, из которых люди отфильтровали лишь 6 000. OSS Scanner автоматизирует этот «бутылочное горлышко», позволяя проектам получать детальные отчеты в масштабе. На фоне роста LLM в задачах кибербезопасности (рост с < 20% до >85% на benchmark CyberGym), такой подход становится новым стандартом для защиты критической инфраструктуры.
Источник: MarkTechPost ↗