Anthropic запускает бесплатный сервис поиска уязвимостей в open source

Корпорация Anthropic представила OSS Scanner — бесплатный сервис для регулярного поиска уязвимостей в открытых проектах. Проверка проводится с использованием мощных языковых моделей компании, включая Claude Mythos.

Сервис работает по принципу аналога Google OSS-Fuzz, где вместо традиционных фаззеров применяются модели искусственного интеллекта.

Участие доступно не всем проектам: отбор осуществляется только для критически важных инфраструктурных решений безопасности. Мейнтейнеры подают заявки через pull request в репозиторий на GitHub, каждая из которых рассматривается индивидуально.

Результаты сканирования включают рабочий эксплойт-репродьюсер с объяснением бага, готовый патч при возможности его создания и информацию о коммите, внесшем ошибку.

• Рабочий эксплойт-репродьюсер и детальное описание уязвимости
• Готовый патч для исправления найденной ошибки
• Информация о коммите, в котором был допущен баг

Существует важный нюанс: отчеты генерируются полностью моделью без проверки людьми. Anthropic предупреждает о возможных ложных срабатываниях, однако статистика показывает высокую эффективность.

За полгода работы модели обнаружили более 29 тысяч потенциальных уязвимостей. При проверке 97 находок из 48 проектов реальными оказались 88%, зафиксировано лишь одно ложное срабатывание.

Сканирование выполняется в изолированных песочницах без доступа к интернету. Сервис не заменяет платную корпоративную версию Claude Security.