OSS Scanner skannar ókeypis — skýrslurnar fara út án yfirferðar

Anthropic kynnti OSS Scanner 8. október 2026 sem ókeypis skönnunarþjónustu fyrir opin hugbúnaðarverkefni sem fá samþykkta skráningu, samkvæmt frétt Axios um kynninguna. Verkefnin eiga að fá reglulegar veikleikaskýrslur án þess að sérfræðingur yfirfari hverja niðurstöðu áður en hún berst umsjónarfólki. Það getur flýtt fyrir sendingu ábendinga, en umsjónarfólkið þarf sjálft að meta hvort tilkynntur veikleiki sé raunverulegur, nýr og viðeigandi fyrir verkefnið.

Í kynningu Anthropic 8. október 2026 kemur fram að sérfræðingar yfirfóru 97 alvarlegar eða mjög alvarlegar niðurstöður úr fyrri prófun á 48 verkefnum: 85 stóðust viðmið fyrirtækisins fyrir samræmda tilkynningu, 11 voru raunverulegar en tvíteknar og ein var ógild; Eddie Kohler hjá HotCRP lýsti skýrslunum með orðunum „The bug reports were thorough and clear“. Þessi afmarkaða prófun skýrir hvernig Anthropic mat fyrri niðurstöður. Hún felur ekki í sér mannlega yfirferð á skýrslum sem OSS Scanner sendir nú sjálfvirkt.

Skráningin er yfirfarin af fólki

OSS Scanner er ætlaður rótgrónum opnum verkefnum sem hafa verulega þýðingu fyrir innviði eða öryggi notenda. Anthropic metur umsóknir hverja fyrir sig og horfir meðal annars til þess hvort verkefnið taki við ótraustu inntaki, hversu margir reiði sig á það og hversu virkt því er viðhaldið. Aðgangurinn er því háður samþykki þótt skönnunin sjálf sé gjaldfrjáls.

Kjarnaumsjónarfólk sækir um með breytingartillögu í GitHub-geymslu þjónustunnar. Í skráningunni þarf að tilgreina kóðageymslu, aðalnetfang fyrir öryggisskýrslur og Dockerfile sem býr til umhverfi fyrir úttektina. Anthropic reynir að staðfesta að umsóknin komi frá umsjónaraðila verkefnisins og að netfangið tilheyri réttum öryggistengilið. Fyrirtækið sannreynir viðtakandann aftur áður en niðurstöður eru sendar.

Þessi mannlega staðfesting snýr að verkefninu og viðtakandanum. Hún tryggir ekki að starfsmaður hafi prófað veikleikann í hverri skýrslu. Við skráningu má einnig bæta við ógnarlíkani sem afmarkar hvaða kóða og inntak eigi að skoða, hvaða árásarleiðir skipti máli og hvernig eigi að meta alvarleika. Slíkt samhengi gefur skannanum forsendur um verkefnið áður en fyrsta skýrslan verður til.

Skýrslan berst með endurgerðarleið

Eftir samþykkta skráningu er verkefnið skannað og skýrslurnar sendar til tilgreinds tengiliðar með tölvupósti. Hver skýrsla á að lýsa meintum veikleika og innihalda sjálfstæða leið til að endurgera hann. Tillaga að lagfæringu fylgir þegar hún er tiltæk; skýring á því hvenær gallinn kom inn getur einnig fylgt þegar hægt er að rekja það.

Skönnunarferlið lætur sjálfvirka þætti tvítékka villur, greina rót þeirra og leggja til plástra. Sú vinnsla er annar hlutur en mannleg staðfesting. Endurgerðarleið getur gert umsjónarfólki kleift að kanna hvort hegðunin komi fram í eigin útgáfu verkefnisins, en skýrslan ein og sér úrskurðar hvorki hvort veikleikinn sé þegar þekktur né hvort fyrirhuguð lagfæring henti öllum notendum.

Reglulegar skannanir eiga einnig að leita að vandamálum sem hafa bæst við og veikleikum sem fyrri umferð missti af. Tíðnin er ekki föst; hún getur ráðist af fjölda verkefna í þjónustunni og álagi á hana. Fyrir verkefni með lítið öryggisteymi skiptir því máli að geta tekið við óvæntum skýrslum, geymt viðkvæmar upplýsingar og forgangsraðað rannsókn áður en nokkuð er birt opinberlega.

Prófun fyrri niðurstaðna segir ekki til um hverja nýja skýrslu

Niðurstaða fyrri prófunarinnar var sterk innan þess hóps alvarlegra og mjög alvarlegra veikleika sem sérfræðingar fengu til yfirferðar. Hún mælir ekki nákvæmni allra framtíðarskýrslna á öllum alvarleikastigum. Tvítekning í prófuninni gat verið raunverulegur veikleiki án þess að kalla á nýja viðgerð, á meðan ógild niðurstaða var fölsk jákvæð ábending.

Anthropic hefur einnig fengið viðbrögð um að alvarleiki hafi stundum verið metinn of hátt eða að skanninn hafi misskilið ógnarlíkan verkefnis. Þar færist verkefnissértæk þekking yfir til umsjónarfólks: það þekkir hvaða inntak er aðgengilegt árásaraðila, hvaða kóði er í raun notaður og hvort tilkynnt hegðun hafi þegar verið lagfærð. Tillaga að plástri þarf sömu prófun og aðrar kóðabreytingar áður en hún er tekin inn.

Ákvörðunin heldur áfram eftir móttöku

Fyrir umsjónarfólk er skráning aðeins upphaf ferlisins. leiðbeiningar Anthropic fyrir OSS Scanner greina á milli staðfestingar umsóknar, sjálfvirkrar sendingar skýrslna og þess tilviks þegar veikleiki er síðar staðfestur af fólki. Þessi aðgreining skiptir máli þegar verkefni ákveður hvað gera eigi við nýja tilkynningu.

1. Skráning: Umsjónarfólk metur hvort verkefnið uppfylli aðgangsskilyrðin og hvort öryggistengiliður geti tekið við viðkvæmum tilkynningum. Upplýsingar um byggingu verkefnisins og mögulegt ógnarlíkan fylgja umsókninni.
2. Staðfesting: Anthropic yfirfer hver sendi umsóknina, hvert skýrslur eiga að fara og hvort skönnunin nái til réttrar kóðageymslu. Samþykkt umsókn staðfestir viðtakandann, ekki veikleika sem kann að finnast síðar.
3. Móttaka: Verkefnið fær skýrslu með lýsingu og endurgerðarleið. Umsjónarfólk getur borið hana saman við þekkt mál og haldið upplýsingunum innan eigin öryggisferlis á meðan rannsókn stendur.
4. Endurprófun: Niðurstaðan er prófuð í viðeigandi umhverfi og metin út frá raunhæfri árásarleið. Þá kemur í ljós hvort hún sé nýr veikleiki, tvítekning eða ábending sem á ekki við um verkefnið.
5. Birting: Ákvörðun um öryggistilkynningu byggist á staðfestum áhrifum og stöðu lagfæringar. Sjálfvirk skýrsla er upphaf rannsóknar, ekki fullgerð opinber tilkynning.

Óstaðfestar niðurstöður OSS Scanner fá ekki sjálfkrafa birtingarfrest samkvæmt reglum þjónustunnar. Ef Anthropic staðfestir síðar sama veikleika með mannlegri yfirferð getur sérstakt ferli um samræmda birtingu tekið við. Fyrir verkefnið ræður eigin endurprófun því hvenær hægt er að lagfæra gallann og upplýsa notendur með ábyrgum hætti.

Lestu einnig:

• Settu AI-reglur áður en trúnaðargögn fara í spjallgluggann
• MCP-aðgangslykill má ekki fara áfram — skiptu honum við þjónustumörkin
• IBM Bob fer á eigin innviði — viðkvæmur kóði þarf ekki að fara í skýið