Anthropic го отвори OSS Scanner, но извештаите може да бидат неточни

На 8 октомври 2026 година Anthropic во објавата за Cyber Mission го претстави OSS Scanner: прифатените проекти со отворен код добиваат периодични бесплатни безбедносни скенирања со најмоќните модели на компанијата. Извештаите од оваа услуга стигнуваат директно до одржувачите, без претходна човечка проверка. Затоа пристигнат наод значи дека има нешто за испитување, а не дека ранливоста е веќе потврдена.

Извештајот на Axios го опишува OSS Scanner како бесплатна услуга што испраќа автоматски извештаи за можни ранливости, начини на искористување и предложени поправки, со ризик дел од наодите да бидат неточни. Таа е дел од истата Cyber Mission во која Anthropic претстави и посебна Critical Infrastructure Defense Program за давателите на безбедносни услуги на критична инфраструктура. За одржувачите на отворен код непосредното прашање е кој може да го вклучи проектот и што треба да се потврди пред да се прифати закрпа или да се известат корисниците.

Пријавата е за проекти што можат да ги обработат наодите

Во условите за OSS Scanner се наведува дека пријавувањето е доброволно, а барањата се разгледуваат поединечно. Предност имаат етаблирани проекти со значење за инфраструктурата или безбедноста на корисниците; меѓу критериумите се изложеноста на далечински напади и бројот на корисници или други проекти што зависат од нив. Услугата е наменета особено за тимови што веќе имаат капацитет навреме да обработуваат проверени пријави за сериозни ранливости.

Главен одржувач го предлага проектот преку барање за измена во складиштето на OSS Scanner. Конфигурацијата наведува складиште со изворниот код, примарна адреса за контакт и Dockerfile што ги подготвува зависностите за скенирање без интернет-пристап. Самото подготвување на Dockerfile може да користи мрежа, но агентот го испитува проектот во околина без мрежен пристап. Пред вклучување, рачно се проверува дали пријавувачот навистина е главен одржувач; таа проверка не ги потврдува идните безбедносни наоди.

Проектот може да додаде и модел на закани со насоки за релевантните влезови, кодот што треба да се испита и начинот на оценување на сериозноста. Таквите насоки му даваат контекст на скенерот, но не ја заменуваат процената на одржувачите кога ќе пристигне конкретен извештај. По прифаќањето следува почетно скенирање, а зачестеноста на понатамошните скенирања зависи и од оптовареноста на услугата.

Што навистина содржи извештајот

Автоматскиот процес вклучува агенти што дополнително испитуваат грешки, предлагаат закрпи и ја анализираат причината за проблемот. Резултатот се испраќа по е-пошта и може да содржи демонстрација на искористување, објаснување и предлог за поправка кога е достапен. Дополнителните проверки што ги прават агенти и понатаму се машински проверки: човек не го прегледува секој извештај пред испраќањето.

Оваа поставеност го скратува времето меѓу скенирањето и известувањето, но може да пренесе погрешна процена за сериозноста или наод што не важи во реалната поставеност на проектот. Демонстрацијата е корисна почетна точка само ако може да се повтори со наведената верзија, зависностите и условите за извршување. И предложената закрпа останува кандидат за преглед: таа може да го промени очекуваното однесување или да покрие само дел од причината.

Одржувачите можат да ги паузираат автоматските извештаи преку конфигурацијата или да го повлечат проектот од услугата. Ако е потребно, извештаите може да се шифрираат со доставен GPG јавен клуч; тогаш се испраќаат само на примарната адреса, без дополнителни примачи. Тоа се избори за прием и заштита на комуникацијата, додека точноста на наодот се утврдува одделно.

Од автоматски наод до потврдена ранливост

Приемот на извештајот може да се подели на четири одлуки. Редоследот им помага на одржувачите да не го измешаат тврдењето на моделот со технички потврден проблем, особено кога извештајот веќе содржи уверлива демонстрација и подготвен предлог за закрпа.

1. Репродукција. Наодот најпрво се врзува за точната ревизија на кодот, верзиите и зависностите на кои се однесува. Демонстрацијата се извршува во изолирана тест-околина, со тест-податоци и без пристап до продукциски системи. Ако однесувањето не се повтори, статусот останува непотврден, а корисни се дополнителни чекори и услови за репродукција.
2. Влијание. Повторливото однесување треба да се поврзе со недоверлив влез, потребните овластувања и конкретната безбедносна последица. Потоа се утврдува кои изданија се засегнати и дали патот за напад постои во вообичаената поставеност. Оваа процена може да се разликува од автоматски доделената сериозност.
3. Закрпа. Предлогот се проверува против причината што е репродуцирана, не само против приложениот пример. Регресиски тест треба да го покаже проблемот пред поправката и да потврди дека исчезнува по неа. Постојните тестови и прегледот на кодот се потребни и за откривање несакани промени во однесувањето.
4. Објавување. Дури по утврдување на засегнатите верзии, влијанието и поправката има основа за координација со дистрибуции и корисници. Јавен совет или барање за CVE треба да опише проверена ранливост. Деталите што овозможуваат напад се задржуваат во приватната комуникација додека се подготвува известувањето според политиката на проектот.

Автоматскиот мејл не го започнува рокот за објавување

За непотврдените извештаи од OSS Scanner не се наметнува фиксен рок за координирано јавно објавување. Ако наодот подоцна помине човечка проверка во редовната постапка за пријавување ранливости на Anthropic, може да се применат правилата на таа постапка, сметано од известувањето дека наодот е проверен. Оваа разлика му остава на проектот простор да утврди дали автоматското тврдење воопшто опишува реална ранливост.

За потврден проблем, корисното јавно известување ги наведува засегнатите изданија, условите за искористување и достапната поправка. Ако проверката покаже дека наодот е неточен, нема основа автоматскиот извештај да стане CVE или предупредување за корисниците. Практичниот ефект на новата услуга ќе зависи од тоа колку од доставените наоди одржувачите ќе можат да репродуцираат и колку од предложените закрпи ќе поминат преглед без да внесат нов проблем.

Прочитајте и:

• FTC ги истражува OpenAI и Anthropic: безбедноста станува правно прашање
• Anthropic вложува 100 милиони долари: 10.000 инженери ќе учат на проекти
• NSA го забрза постквантниот рок: новите системи мора да бидат подготвени во 2027