„Anthropic“ nemokamai skenuos atvirąjį kodą, bet išvados bus nepatikrintos

„Anthropic“ 2026 m. spalio 8 d. pristatė nemokamą „OSS Scanner“: priimti atvirojo kodo projektai gaus periodines stipriausių bendrovės modelių saugumo patikras, o ataskaitos pasieks prižiūrėtojus be žmogaus peržiūros. Todėl jose pateiktas radinys yra tikrintina išvada, o siūloma pataisa – kandidatas, ne parengtas leidimas.

Paslauga skirta projektams, kurie patys sutinka dalyvauti, ir po ankstyvų bandymų atverta daugiau prižiūrėtojų. Ankstyvos versijos vertinimą aprašiusi „Help Net Security“ cituoja bendrovės įspėjimą „We can’t guarantee the scanner will be perfect“: iš 97 didelio arba kritinio rimtumo radinių 48 projektuose 85 atitiko koordinuoto atskleidimo kriterijus, 11 buvo tikri, bet dubliavosi, o vienas buvo klaidingas. Ši atrinkta ankstyvų radinių imtis neparodo, kokio tikslumo bus kiekviena būsima ataskaita.

Kam atveriamas nemokamas skenavimas

Registracija priklauso projekto pagrindiniam prižiūrėtojui, o paraiškos vertinamos individualiai. „OSS Scanner“ taisyklėse nurodoma, kad svarbi projekto įtaka infrastruktūrai ir naudotojų saugumui, pasiekiamumas nuotolinėms atakoms bei nuo jo priklausančių naudotojų ir kitų projektų skaičius; prieš priimdama projektą bendrovė patikrina pareiškėjo prižiūrėtojo statusą. Vadinasi, vien viešos saugyklos neužtenka, kad skenavimas būtų automatiškai įjungtas.

Prižiūrėtojas teikia pakeitimo užklausą registracijos saugykloje. Konfigūracijoje nurodomas tikrinamas kodas, pagrindinio kontakto el. paštas ir „Dockerfile“, kuris paruošia priklausomybes bei surenka projektą. Po šio paruošimo tikrinimo agentas veikia be interneto prieigos. Pasirinktinai pridedamas grėsmių modelis gali apibrėžti nepatikimas įvestis, netikrinamas kodo dalis, rimtumo vertinimą ir pageidaujamą pataisos formą.

Pirmasis skenavimas atliekamas priėmus projektą, o vėlesni ieškos naujų ir anksčiau praleistų spragų. Tikslus jų dažnis nėra pažadėtas: jį gali keisti dalyvaujančių projektų kiekis ir paslaugos apkrova. Ataskaitų rinkiniai pradžioje siunčiami el. paštu, tad registracijos kontaktas turi būti tas, kurį komanda iš tiesų stebi.

Jeigu pranešimų srautas tampa per didelis, konfigūracijoje galima jį pristabdyti arba išregistruoti projektą. Taip komanda gali riboti naujų radinių kiekį, kol baigs tirti jau gautus pranešimus.

Kiek galima pasitikėti gautu radiniu

Ataskaita pateikia savarankiškai pakartojamą bandymą, pažeidžiamumo paaiškinimą ir, kai pavyksta, siūlomą pataisą. Skenavimo grandinėje veikia ir automatiniai klaidos patikrinimo, priežasties analizės bei pataisos rengimo agentai. Vis dėlto šie žingsniai nėra žmogaus atlikta konkretaus projekto saugumo peržiūra: bandymas gali remtis nepasiekiama funkcija, neteisinga grėsmių modelio prielaida arba dubliuoti jau žinomą problemą.

Vertinant radinį svarbu atskirti, ar bandymas parodo tik programos sutrikimą, ar išnaudojamą saugumo pasekmę. Ta pati kodo vieta gali būti pasiekiama tik su papildomomis teisėmis, nestandartine konfigūracija arba duomenimis, kurių projektas įprastai nepriima. Tokiu atveju automatiškai priskirtas rimtumas gali neatitikti tikrosios rizikos, net jeigu pati kodo klaida egzistuoja.

Siūloma pataisa taip pat gali išspręsti vien parodytą bandymą, bet pakeisti teisėtą programos elgesį kitais atvejais. Todėl sprendimas įtraukti ją į kodą turi remtis nustatyta klaidos priežastimi ir projekto testais. Ši riba ypač svarbi prižiūrėtojams, kurie gauna išsamų techninį aprašą ir dėl jo gali palaikyti radinį jau patvirtintu.

Nuo automatinės išvados iki pataisyto leidimo

Prižiūrėtojo darbo eiga prasideda nuo atkuriamo rezultato, o baigiasi tik patikrintu leidimu. Automatinė ataskaita gali sutrumpinti paiešką, tačiau kiekvienas tolesnis sprendimas priklauso nuo projekto versijų, priklausomybių ir saugumo politikos.

1. Pakartoti bandymą. Atskirtoje aplinkoje paleisti pateiktą reproduktorių su ataskaitoje nurodyta versija. Jei klaida nepasikartoja, išsiaiškinti, ar skiriasi priklausomybės, surinkimo parinktys arba įvestys; vien nesėkmingas pakartojimas dar neįrodo, kad radinys klaidingas.
2. Nustatyti prioritetą. Įvertinti, ar pažeidžiamas kelias pasiekiamas realiame naudojime, kokių teisių reikia ir kas nutiktų išnaudojus spragą. Toks poveikio vertinimas gali pakelti arba sumažinti automatinį rimtumą.
3. Peržiūrėti pakeitimą. Patikrinti, ar pataisa pašalina klaidos priežastį, o ne tik sustabdo vieną bandymą. Kodo peržiūra turi apimti ir palaikomas konfigūracijas bei teisėtas įvestis, kurias pakeitimas gali paliesti.
4. Išbandyti regresiją. Palikti bandymą, kuris parodo senos versijos klaidą ir patvirtina jos pašalinimą pataisytoje versijoje. Kartu paleisti įprastus projekto testus, kad saugumo pakeitimas neįvestų kito sutrikimo.
5. Parengti leidimą. Nuspręsti, kurias palaikomas šakas taisyti ir kada informuoti naudotojus. Viešinimo laikas turi atitikti patvirtintą poveikį bei pataisos parengtį, kad pranešimas neatsirastų anksčiau už saugų atnaujinimą.

Ką nemokama paslauga kainuoja prižiūrėtojams

Už skenavimą projektas nemokės, bet kiekvienas naujas pranešimas pareikalaus žmogaus dėmesio. Paslauga labiausiai tinka komandoms, kurios jau sugeba apdoroti patvirtintus rimtus saugumo pranešimus ir gali priimti papildomą neperžiūrėtų radinių srautą. Jei tokio pajėgumo nėra, dažnesni pranešimai gali ilginti eilę ir atitraukti laiką nuo jau nustatytų spragų taisymo.

Automatiškai atsiųstiems radiniams netaikomas privalomas viešo atskleidimo terminas. Taip prižiūrėtojas gauna erdvės atskirti tikrą problemą nuo klaidingos ar pasikartojančios išvados, o pataisos laiką susieti su realiu poveikiu. Projekto komandos darbo apimtį galiausiai lems ne pats nemokamas skenavimas, o tai, kiek gautų bandymų pavyks patikimai pakartoti ir paversti saugiais leidimais.

Taip pat skaitykite:

• ESA ir Mistral jungia DI su kosmosu, bet susitarimas dar be projektų
• „Fourthwall“ ar „Shopify“: nemokama kūrėjo parduotuvė ima dalį kitur
• „Circle“ ar „Discord“: nemokamas pokalbis gali kainuoti 10 % pajamų