Anthropic-ის OSS Scanner უფასოა — ანგარიშს ადამიანი წინასწარ არ ამოწმებს

2026 წლის 8 ოქტომბერს Anthropic-მა უფასო OSS Scanner წარადგინა დაშვებული ღია კოდის პროექტებისთვის. პროექტები პერიოდულ სკანირებას და მოწყვლადობის ანგარიშებს მიიღებენ, თუმცა მოდელის მიერ მომზადებულ ანგარიშს შემნახველთან გაგზავნამდე ადამიანი არ ამოწმებს; აღმოჩენა შეიძლება არაზუსტი იყოს.

Anthropic-ის ადრეული შემოწმების მონაცემებით, 48 პროექტში ნაპოვნი 97 მაღალი ან კრიტიკული სიმძიმის შემთხვევიდან 85 კომპანიის ადამიანური განხილვის კრიტერიუმებს აკმაყოფილებდა; PostgreSQL-ის წარმომადგენელმა ნოე მიშმა მიღებულ შესწორებებზე თქვა: „Several reports came with fixes we can use nearly as-is“. ეს შერჩეული შემთხვევების შედეგია და შემდგომი ავტომატური ანგარიშების სიზუსტის გარანტიას არ იძლევა. პროგრამაში ჩართვისას შემნახველი უფრო სწრაფად იღებს ცნობას შესაძლო ხარვეზის შესახებ, მაგრამ მის დადასტურებასა და შესწორებაზე პასუხისმგებლობა პროექტში რჩება.

ვის შეუძლია პროექტის ჩართვა

OSS Scanner-ის პირობები ითვალისწინებს განაცხადს პროექტის ძირითადი შემნახველისგან: Anthropic მის უფლებამოსილებას ამოწმებს და პროექტის დაშვებას ინდივიდუალურად წყვეტს. შეფასებისას მნიშვნელობა აქვს პროექტის გავლენას ინფრასტრუქტურასა და მომხმარებელთა უსაფრთხოებაზე, დისტანციური შეტევის შესაძლებლობას და მასზე დამოკიდებული მომხმარებლებისა თუ სხვა პროექტების რაოდენობას. საჯარო რეპოზიტორიის არსებობა თავისთავად მიღებას არ ნიშნავს.

მცირე პროექტისთვის გუნდის ზომა ერთადერთი საზომი არ არის. თუ მისი ბიბლიოთეკა არასანდო მონაცემებს ამუშავებს ან სხვა პროგრამებისთვის მნიშვნელოვანი დამოკიდებულებაა, განაცხადში ამ როლის მოკლედ ახსნა ეხმარება შემფასებელს. პროექტმა საკუთარი შესაძლებლობაც უნდა გაითვალისწინოს: პროგრამა განკუთვნილია შემნახველებისთვის, რომლებსაც უსაფრთხოების შეტყობინებების განხილვა უკვე შეუძლიათ.

ძირითადი შემნახველი განაცხადს Anthropic-ის OSS Scanner-ის GitHub რეპოზიტორიაში ცვლილების მოთხოვნით აგზავნის. კონფიგურაციაში მიეთითება შესამოწმებელი კოდის რეპოზიტორია, მთავარი საკონტაქტო ელფოსტა და Dockerfile, რომელიც აგენტისთვის პროექტის ასაწყობ გარემოს ამზადებს. შესაძლებელია დამატებითი ადრესატების, დაშიფვრის საჯარო გასაღებისა და საფრთხეების მოდელის მითითებაც. გარემოს გამართვა მნიშვნელოვანი წინაპირობაა: სკანირების აგენტი იზოლირებულ გარემოში, ინტერნეტის გარეშე მუშაობს, ამიტომ საჭირო დამოკიდებულებები წინასწარ უნდა იყოს მომზადებული.

რას მიიღებს შემნახველი და რას ნიშნავს დაუმოწმებელი ანგარიში

მიღებული პროექტის პირველადი სკანირების შემდეგ შესაძლო ხარვეზების ანგარიშები მთავარ საკონტაქტო მისამართზე ელფოსტით მიდის. ანგარიშს შეიძლება ახლდეს ხარვეზის გამეორების საშუალება, მისი ახსნა და შესწორების კანდიდატი. შემდგომი სკანირებებიც გათვალისწინებულია, მაგრამ მათი სიხშირე წინასწარ ფიქსირებული არ არის. შემნახველისთვის ეს მოკვლევის საწყისი მასალაა: ანგარიშის მიღება ჯერ არ ნიშნავს, რომ ხარვეზი დადასტურდა ან შეთავაზებული პაჩი უსაფრთხოა.

ადამიანური წინასწარი განხილვის არქონა ანგარიშის გაგზავნის წესს ეხება. განაცხადის მიღებამდე ძირითადი შემნახველის ვინაობის ხელით შემოწმება სხვა ეტაპია. სკანირების პროცესში აგენტებს შეუძლიათ აღმოჩენის ხელახლა შემოწმება და პაჩის შეთავაზება, თუმცა ეს არ უდრის დამოუკიდებელ ადამიანურ შეფასებას, რომელსაც Anthropic მოწყვლადობების კოორდინირებული გამჟღავნების ცალკე პროცესში იყენებს.

ანგარიშში მითითებული სიმძიმე შესაძლოა პროექტის რეალურ საფრთხეების მოდელს აცდეს. შეტევის აღწერილი გზა, მაგალითად, შეიძლება მოითხოვდეს წვდომას, რომელიც ჩვეულებრივ მომხმარებელს არ აქვს; აღმოჩენა შეიძლება უკვე ცნობილი ხარვეზის დუბლიკატიც იყოს. არჩევითი საფრთხეების მოდელით შემნახველს შეუძლია წინასწარ აღწეროს შესამოწმებელი საზღვრები, არასანდო მონაცემები და სიმძიმის შეფასების საკუთარი წესები. ეს მოდელს კონტექსტს აძლევს, თუმცა მიღებული დასკვნის გადამოწმების საჭიროებას არ ხსნის.

როგორ დადასტურდეს აღმოჩენა

ანგარიშის განხილვა იწყება კონკრეტული კოდისა და ვერსიის შედარებით: არსებობს თუ არა აღწერილი გზა იმ ვერსიაში, რომელსაც პროექტი იყენებს, და შესრულებადია თუ არა შეტევის წინაპირობები. შემდეგ გამეორების ინსტრუქცია იზოლირებულ გარემოში უნდა შესრულდეს. თუ აღწერილი ქცევა გამოვლინდა, ცალკე რჩება შესაფასებელი მისი გავლენა მომხმარებელზე და ანგარიშში მინიჭებული სიმძიმე.

წარუმატებელი გამეორება აღმოჩენას ავტომატურად მცდარად არ აქცევს. მიზეზი შეიძლება იყოს განსხვავებული კონფიგურაცია, გამორჩენილი უფლება ან ისეთი შეყვანის გზა, რომელიც ტესტში ვერ აღდგა. შემნახველმა ანგარიშის გარემო პროექტის მხარდაჭერილ გარემოს უნდა შეადაროს და დააფიქსიროს, რა ვერ განმეორდა. თუ იმავე კოდის მონაკვეთს სხვა შეტყობინებაც ეხება, მათი შედარება დუბლიკატის ამოცნობაში დაეხმარება.

განსაკუთრებით საყურადღებოა მტკიცება, რომ ხარვეზის გამოყენება დისტანციურად ან ავტორიზაციის გარეშეა შესაძლებელი. ამის დასადასტურებლად საჭიროა რეალური კონფიგურაციისა და აუცილებელი უფლებების შემოწმება, რადგან არასწორმა სიმძიმემ გუნდის პრიორიტეტები შეიძლება შეცვალოს. მოკვლევის შედეგი მკაფიოდ შეიძლება ჩაიწეროს: აღმოჩენა დადასტურდა, დუბლიკატია თუ დამატებითი მტკიცებულება სჭირდება. ასე შემდგომ გადაწყვეტილებას კონკრეტული ტესტი უდევს საფუძვლად.

შესწორების კანდიდატიდან გამოშვებამდე

ანგარიშს დართული პაჩი განსახილველი წინადადებაა. დადასტურებული ხარვეზის შემთხვევაში შემნახველმა უნდა შეამოწმოს, აღმოფხვრის თუ არა ცვლილება გამეორებულ პრობლემას და ხომ არ ცვლის პროგრამის მოსალოდნელ ქცევას. პროექტის არსებული ტესტების გავლა აუცილებელი შემოწმებაა, მაგრამ მხოლოდ წარმატებული აწყობა ხარვეზის გამოსწორებას ვერ ამტკიცებს.

უფრო მკაფიო მტკიცებულებას იძლევა ტესტი, რომელიც პრობლემას ძველ ვერსიაში ავლენს, შესწორებულ ვერსიაში კი ვეღარ იმეორებს. ამის შემდეგ ცვლილება პროექტის ჩვეულებრივი განხილვისა და გამოშვების პროცესში უნდა გავიდეს. თუ მომხმარებლებს განახლება სჭირდებათ, შემნახველმა პაჩის მიღებასთან ერთად უნდა განსაზღვროს, როგორ მიაწვდის მათ გამოსწორებულ ვერსიასა და საჭირო ინფორმაციას.

დაუმოწმებელ ავტომატურ ანგარიშებზე Anthropic კოორდინირებული გამჟღავნების ვადას არ აწესებს. თუ აღმოჩენა მოგვიანებით ადამიანურად დადასტურდება, მასზე ცალკე გამჟღავნების წესი შეიძლება გავრცელდეს. პროექტს ანგარიშების დროებით შეჩერება ან პროგრამიდან გასვლაც შეუძლია; ეს არჩევანი განსაკუთრებით მნიშვნელოვანია მაშინ, როცა შემნახველს ახალი შეტყობინებების გადამოწმების რესურსი აღარ აქვს.

ასევე წაიკითხეთ:

• Mercury თუ Relay: უცხოელ დამფუძნებელს უფასო ანგარიში გარანტირებული არ აქვს
• კალიფორნიაში AI მარტო ვეღარ გაგათავისუფლებთ — ადამიანი გადაწყვეტილებას ამოწმებს
• Microsoft-ის passkey ჩართეთ, მაგრამ აღდგენის გზა წინასწარ აირჩიეთ