OSS Scanner quét mã nguồn mở miễn phí, báo lỗi có thể chưa được người duyệt

Theo Axios, ngày 8/10/2026 Anthropic ra mắt OSS Scanner trong sáng kiến Cyber Mission. Dự án nguồn mở được chấp thuận có thể nhận quét bảo mật định kỳ miễn phí, kèm báo cáo mô tả lỗi, cách khai thác và hướng sửa. Báo cáo được gửi tới người duy trì mà chưa qua đánh giá thủ công của con người, nên một phát hiện của mô hình chưa đồng nghĩa với lỗ hổng đã được xác nhận.

Trong công bố kỹ thuật, Anthropic cho biết chuyên gia đã kiểm tra 97 phát hiện mức cao hoặc nghiêm trọng từ phiên bản đầu trên 48 dự án; 85 phát hiện đạt ngưỡng của quy trình công bố phối hợp. Anton Arapov của OpenSSL Corporation nhận xét các báo cáo ông nhận được “as good and sometimes better than what we get from people”. Đây là kết quả của nhóm phát hiện được chọn để kiểm tra, không phải tỷ lệ chính xác áp dụng cho mọi báo cáo mà các dự án đăng ký sau này sẽ nhận.

Dự án nào được tham gia OSS Scanner?

OSS Scanner dành cho dự án nguồn mở có tác động quan trọng tới hạ tầng và an toàn người dùng, với quyết định tiếp nhận theo từng trường hợp. Hướng dẫn OSS Scanner nêu hai yếu tố được cân nhắc: mã có thể tiếp xúc với tấn công từ xa, chẳng hạn thư viện xử lý đầu vào không đáng tin cậy, và số người dùng hoặc dự án khác phụ thuộc vào mã đó. Việc công khai kho mã, tự nó, không bảo đảm dự án được chấp thuận.

Người duy trì cốt lõi đăng ký bằng pull request vào kho cấu hình của dịch vụ. Anthropic kiểm tra thủ công tư cách người đăng ký trước khi tiếp nhận dự án; bước kiểm tra người đăng ký này khác với việc đánh giá từng phát hiện bảo mật. Hồ sơ cần địa chỉ kho mã, email liên hệ chính và Dockerfile chuẩn bị môi trường xây dựng, cài sẵn phụ thuộc để tác nhân có thể kiểm tra mã khi không có kết nối Internet.

Dự án có thể bổ sung mô hình đe dọa để xác định phần mã cần xem, đầu vào nào được coi là nguy hiểm, phạm vi loại trừ và cách đánh giá mức độ nghiêm trọng. Những chỉ dẫn ấy đặc biệt hữu ích khi cùng một hành vi trong mã có mức rủi ro khác nhau tùy cách triển khai. Dịch vụ hướng tới nhóm đã xử lý kịp các báo cáo bảo mật được xác minh và có khả năng tiếp nhận thêm phát hiện chưa được người duyệt.

Báo cáo gửi cho người duy trì gồm những gì?

Sau lần quét đầu, người liên hệ nhận một nhóm báo cáo qua email. Mỗi báo cáo có phần giải thích và cách tái hiện độc lập; khi tạo được, mô hình còn đưa ra bản vá đề xuất hoặc chỉ ra thay đổi trong lịch sử mã đã đưa lỗi vào. Các lần quét sau tìm cả vấn đề mới phát sinh lẫn vấn đề có thể đã bị bỏ sót, nhưng tần suất phụ thuộc vào số dự án tham gia và mức sử dụng dịch vụ, chưa phải một lịch cố định cho mọi kho mã.

Trong hệ thống có các tác nhân AI kiểm tra lại phát hiện, tìm nguyên nhân và đề xuất bản vá trước khi gửi. Bước kiểm tra tự động ấy không phải đánh giá thủ công của chuyên gia. Vì email có thể chứa chi tiết về lỗi chưa sửa, dự án có thể cấu hình thêm người nhận hoặc dùng khóa GPG để mã hóa thư; nếu dùng khóa mã hóa, báo cáo chỉ được gửi tới địa chỉ liên hệ chính, không gửi bản sao cho các địa chỉ khác.

Kết quả quét đáng tin đến mức nào?

Phát hiện có cách tái hiện rõ ràng giúp người duy trì kiểm chứng nhanh hơn, nhưng mức độ nghiêm trọng và khả năng khai thác vẫn cần đặt trong bối cảnh của dự án. Trong nhóm phát hiện được chuyên gia kiểm tra ở giai đoạn đầu, phần lớn đạt ngưỡng công bố phối hợp; những phát hiện còn lại chủ yếu trùng lỗi đã biết hoặc trùng kết quả khác, cùng một trường hợp không hợp lệ. Phản hồi từ người duy trì cũng ghi nhận báo cáo đánh giá mức độ nghiêm trọng quá cao hoặc hiểu sai mô hình đe dọa.

Sự khác biệt giữa phát hiện tự động và lỗ hổng đã xác nhận nằm ở việc hành vi được mô tả có tái hiện trên đúng phiên bản mã và trong điều kiện triển khai phù hợp hay không. Một đoạn mã có vẻ nguy hiểm có thể không tiếp nhận đầu vào từ bên ngoài; ngược lại, một cách tái hiện thành công có thể cho thấy vấn đề cần xử lý ngay. Bản vá do mô hình đề xuất là một giả thuyết sửa lỗi riêng, cần được đánh giá về tác động tới chức năng và những nhánh phát hành đang được hỗ trợ.

Nhóm duy trì xử lý báo cáo thế nào?

Luồng tiếp nhận nên bắt đầu bằng việc giữ báo cáo trong kênh bảo mật riêng, gắn nó với phiên bản mã được quét và kiểm tra xem vấn đề đã được báo trước đó hay chưa. Sau đó, người phụ trách dựng lại điều kiện đầu vào và chạy cách tái hiện được cung cấp. Nếu hành vi xuất hiện, nhóm xác định phạm vi ảnh hưởng: đường mã nào có thể bị tiếp cận, cấu hình nào bị tác động và phiên bản nào cần sửa.

Bước phân loại giúp tránh đẩy một báo cáo trùng lặp hoặc không thể khai thác vào cùng hàng ưu tiên với lỗi đã tái hiện. Nhóm có thể ghi rõ vì sao phát hiện được chấp nhận, cần thêm dữ liệu hoặc bị loại, để người sửa không phải suy đoán lại từ đầu. Đây là quy trình tiếp nhận phù hợp với loại báo cáo chưa qua người duyệt, không phải bảo đảm của OSS Scanner về tính đúng đắn của từng kết quả.

Khi thử bản vá đề xuất, nhóm cần kiểm tra cả cách tái hiện của báo cáo lẫn các bài kiểm thử hồi quy. Một thay đổi chặn được đầu vào gây lỗi vẫn có thể làm hỏng hành vi hợp lệ hoặc bỏ sót biến thể liên quan. Chỉ sau khi xác định tác động và có bản sửa phù hợp, người duy trì mới có đủ cơ sở để phối hợp thời điểm phát hành và thông báo cho người dùng bị ảnh hưởng.

Công bố và kiểm soát lượng báo cáo

Anthropic hiện không áp thời hạn công bố phối hợp đối với phát hiện tự động chưa được xác minh. Nếu sau đó hãng kiểm tra thủ công một báo cáo theo quy trình công bố lỗ hổng hiện có, thời hạn của quy trình ấy có thể bắt đầu khi dự án được thông báo về kết quả xác minh. Vì vậy, việc nhận báo cáo thô không tự động khởi động cùng lịch công bố như một lỗ hổng đã qua người duyệt.

Nhóm quá tải có thể tạm dừng báo cáo tự động bằng cấu hình dự án hoặc rút khỏi dịch vụ; khi đó, dự án vẫn có thể nhận báo cáo theo quy trình công bố có người xác minh của Anthropic. Với những phát hiện đã tái hiện, công việc còn lại thuộc về nhóm duy trì: hoàn thiện bản sửa, quyết định phiên bản cần phát hành và phối hợp công bố ở thời điểm người dùng có thể cập nhật an toàn.

Đọc thêm:

• Saudi Arabia cấp Adobe AI miễn phí cho 27 triệu người: cuộc đua hạ giá sáng tạo
• Buzzsprout gửi podcast tới 16 thư mục bằng một lần nhấp, nhưng vẫn cần kiểm tra duyệt
• Freemium hay dùng thử miễn phí: tỷ lệ chuyển đổi cao chưa chắc thắng