Ang anunsyo
Noong Oktubre 8, 2026, inilunsad ng Anthropic ang OSS Scanner, isang libre at opt-in na serbisyo na gumagamit ng pinakamalalakas nitong modelo, kasama ang Claude Mythos, para maghanap ng kahinaan sa mga open-source na proyekto. Ang inspirasyon nito ay ang OSS-Fuzz ng Google, na ganoon din ang ginagawa gamit ang mga fuzzer.
Ang mga numero
Ayon sa Anthropic, sa nakaraang anim na buwan nakahanap ang mga modelo nito ng mahigit 29,000 kandidatong kahinaan sa mahahalagang software, pero mga 6,000 lang ang na-review nang mano-mano. Maraming maintainer ang humiling na matanggap ang lahat kahit hindi pa na-review: halos 5,000 ganoong ulat na ang naipadala.
Sa akademikong benchmark na CyberGym, sinabi ng Anthropic na umakyat ang mga modelo mula sa wala pang 20% ng kahinaang nahahanap noong simula ng nakaraang taon tungo sa mahigit 85% ngayong taon.
Para patunayan ang scanner, nirepaso ng mga penetration tester ang 97 kritikal at mataas na natuklasan sa 48 proyekto: 85 (88%) ang pumasa sa pamantayan ng coordinated disclosure (CVD), 11 ang totoo pero duplicate, at 1 lang ang false positive.
Mahalaga: walang human review
Ang mga ulat ng OSS Scanner ay buong ginawa ng modelo, walang triage ng tao. Mas mabilis at madalas ang pag-scan, pero babala mismo ng Anthropic na may ilan na maaaring mali o labis ang severity. Bawat ulat ay may reproducer, paliwanag, bisection kung kailan pumasok ang bug (kung kaya) at kandidatong patch.
Ipagpapatuloy ng Anthropic ang CVD na beripikado ng tao.
Sinabi ng mga maintainer
Sinipi ng pahina ang PostgreSQL, OpenSSL, wolfSSL (74 ulat, 2 lang ang invalid, 5 ang naging CVE), HotCRP at curl. Ayon kay Daniel Stenberg ng curl, nahanap nito ang "isa sa pinakamalalang kahinaan ng curl sa nakalipas na ilang taon."
Paano sumali (GitHub repo)
Mag-enroll sa pamamagitan ng pull request sa github.com/anthropics/oss-scanner (Apache-2.0), ayon sa template (project.yaml at, kung kailangan, Dockerfile para i-build ang proyekto). Core maintainer lang ang puwedeng mag-enroll, at ang pamantayan ay katulad ng OSS-Fuzz: kritikal na epekto sa imprastraktura at seguridad ng user, bawat kaso.
Sa parehong araw: programa para sa kritikal na imprastraktura
Ayon sa SecurityWeek, inanunsyo rin ng Anthropic ang programa ng depensa sa kritikal na imprastraktura kasama ang 11 industrial (OT) security partner, kabilang ang Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks at Rockwell.
Ano ang ibig sabihin para sa mga negosyo
- Mas mabilis at mas marami ang patch sa mga sikat na library. I-automate ang dependency updates (Dependabot, Renovate) at sundan ang security advisories.
- May parehong kasangkapan ang mga umaatake. Gaya ng sabi ng Anthropic, nagagawa na ang exploit sa loob ng ilang minuto.
- Kung nagme-maintain ka ng kritikal na open-source na proyekto, pag-isipang mag-enroll, pero maglaan ng oras para i-triage ang mga hindi pa na-review na ulat.
Mga pinagmulan
- Anthropic (Okt 8, 2026): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner: https://red.anthropic.com/oss-scanner/
- Repository: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
Gusto mo bang ayusin ang dependency at patch management ng iyong kumpanya? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.