Thông báo
Ngày 8/10/2026, Anthropic ra mắt OSS Scanner, dịch vụ miễn phí, tự nguyện tham gia (opt-in) dùng các mô hình mạnh nhất của hãng, gồm Claude Mythos, để tìm lỗ hổng trong các dự án mã nguồn mở. Nguồn cảm hứng là OSS-Fuzz của Google, vốn làm điều tương tự bằng fuzzer.
Các con số
Theo Anthropic, trong sáu tháng qua các mô hình đã tìm thấy hơn 29.000 lỗ hổng tiềm năng trong các phần mềm quan trọng, nhưng đội ngũ chỉ rà soát thủ công được khoảng 6.000. Nhiều người bảo trì muốn nhận tất cả dù chưa rà soát: công ty đã gửi gần 5.000 báo cáo như vậy.
Trên benchmark học thuật CyberGym, Anthropic cho biết tỷ lệ phát hiện tăng từ dưới 20% đầu năm ngoái lên hơn 85% năm nay.
Để kiểm chứng, các chuyên gia kiểm thử xâm nhập xem xét 97 phát hiện mức nghiêm trọng và cao trong 48 dự án: 85 (88%) đạt chuẩn quy trình công bố phối hợp (CVD), 11 là thật nhưng trùng lặp, và chỉ 1 là dương tính giả.
Lưu ý: không có con người rà soát
Báo cáo của OSS Scanner hoàn toàn do mô hình tạo ra, không có phân loại thủ công. Điều này giúp quét nhanh và thường xuyên hơn, nhưng chính Anthropic cảnh báo một số có thể sai hoặc thổi phồng mức độ. Mỗi báo cáo có mã tái hiện, giải thích, xác định thời điểm lỗi xuất hiện (nếu có thể) và bản vá đề xuất.
Anthropic vẫn duy trì quy trình CVD có con người xác minh.
Ý kiến người bảo trì
Trang dẫn lời PostgreSQL, OpenSSL, wolfSSL (74 báo cáo, chỉ 2 không hợp lệ, 5 trở thành CVE), HotCRP và curl. Daniel Stenberg của curl cho biết công cụ tìm ra "một trong những lỗ hổng tệ nhất của curl trong vài năm gần đây".
Cách tham gia (kho GitHub)
Đăng ký bằng pull request vào github.com/anthropics/oss-scanner (Apache-2.0), theo mẫu (project.yaml và nếu cần một Dockerfile để build dự án). Chỉ người bảo trì cốt lõi được đăng ký, với tiêu chí tương tự OSS-Fuzz: tác động quan trọng tới hạ tầng và an toàn người dùng, xét từng trường hợp.
Cùng ngày: chương trình hạ tầng trọng yếu
Theo SecurityWeek, Anthropic còn công bố chương trình phòng thủ hạ tầng trọng yếu với 11 đối tác bảo mật công nghiệp (OT), gồm Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks và Rockwell.
Ý nghĩa với doanh nghiệp
- Bản vá sẽ đến nhanh hơn và nhiều hơn. Tự động hóa cập nhật phụ thuộc (Dependabot, Renovate) và theo dõi cảnh báo bảo mật.
- Kẻ tấn công có cùng công cụ. Như Anthropic nói, exploit giờ có thể viết trong vài phút.
- Nếu bạn bảo trì dự án nguồn mở quan trọng, hãy cân nhắc đăng ký, nhưng dành thời gian phân loại các báo cáo chưa rà soát.
Nguồn
- Anthropic (8/10/2026): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner: https://red.anthropic.com/oss-scanner/
- Kho mã: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
Bạn muốn sắp xếp lại việc quản lý phụ thuộc và bản vá? KGA IT cung cấp tư vấn miễn phí: kga-it.com.