Pengumuman
Pada 8 Oktober 2026, Anthropic melancarkan OSS Scanner, perkhidmatan percuma dan pilihan (opt-in) yang menggunakan model terkuatnya, termasuk Claude Mythos, untuk mencari kelemahan dalam projek sumber terbuka. Inspirasinya ialah OSS-Fuzz Google, yang melakukan perkara sama dengan fuzzer.
Angka
Menurut Anthropic, dalam enam bulan lalu modelnya menemui lebih 29,000 calon kelemahan dalam perisian penting, tetapi pasukan hanya mampu menyemak secara manual kira-kira 6,000. Ramai penyelenggara meminta semua laporan walaupun belum disemak: syarikat telah menghantar hampir 5,000 laporan sebegitu.
Pada penanda aras akademik CyberGym, Anthropic berkata model meningkat daripada menemui kurang 20% kelemahan pada awal tahun lalu kepada lebih 85% tahun ini.
Untuk mengesahkan pengimbas, penguji penembusan menyemak 97 penemuan kritikal dan tinggi dalam 48 projek: 85 (88%) memenuhi standard proses pendedahan terselaras (CVD), 11 benar tetapi pendua, dan hanya 1 positif palsu.
Penting: tiada semakan manusia
Laporan OSS Scanner dijana sepenuhnya oleh model, tanpa triaj manusia. Ini membolehkan imbasan lebih pantas dan kerap, tetapi Anthropic sendiri mengingatkan sesetengahnya mungkin salah atau membesar-besarkan keterukan. Setiap laporan ada pengeluar semula, penjelasan, bisection bila pepijat diperkenalkan (jika boleh) dan cadangan tampalan.
Anthropic akan terus menggunakan proses CVD yang disahkan manusia.
Kata penyelenggara
Halaman itu memetik PostgreSQL, OpenSSL, wolfSSL (74 laporan, hanya 2 tidak sah, 5 menjadi CVE), HotCRP dan curl. Daniel Stenberg dari curl berkata ia menemui "salah satu kelemahan curl paling teruk dalam beberapa tahun kebelakangan".
Cara menyertai (repositori GitHub)
Pendaftaran melalui pull request ke github.com/anthropics/oss-scanner (Apache-2.0), mengikut templat (project.yaml dan, jika perlu, Dockerfile untuk membina projek). Hanya penyelenggara teras boleh mendaftar, dengan kriteria seperti OSS-Fuzz: impak kritikal terhadap infrastruktur dan keselamatan pengguna, diputuskan kes demi kes.
Hari yang sama: program infrastruktur kritikal
Menurut SecurityWeek, Anthropic juga mengumumkan program pertahanan infrastruktur kritikal dengan 11 rakan keselamatan industri (OT), termasuk Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks dan Rockwell.
Maksudnya untuk perniagaan
- Tampalan akan tiba lebih cepat dan lebih banyak. Automasikan kemas kini kebergantungan (Dependabot, Renovate) dan ikuti nasihat keselamatan.
- Penyerang ada alat yang sama. Seperti kata Anthropic, eksploit kini boleh dibina dalam beberapa minit.
- Jika anda menyelenggara projek sumber terbuka kritikal, pertimbangkan untuk mendaftar, tetapi peruntukkan masa untuk triaj laporan yang belum disemak.
Sumber
- Anthropic (8 Okt 2026): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner: https://red.anthropic.com/oss-scanner/
- Repositori: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
Mahu menyusun pengurusan kebergantungan dan tampalan syarikat anda? KGA IT menawarkan konsultasi percuma: kga-it.com.