Anthropic запустила OSS Scanner — сервис, который бесплатно и регулярно ищет потенциальные уязвимости в open-source-коде проектов, добровольно подключившихся к программе. Как сообщает The Verge, для анализа будут использоваться наиболее мощные модели компании, включая Claude Mythos. Значение запуска не только в доступности инструмента: Anthropic предлагает постоянный поток автоматизированных находок там, где у мейнтейнеров часто ограничены ресурсы на аудит безопасности.

При этом OSS Scanner не является сервисом верифицированных уведомлений. Все отчёты формируются моделями и поступают без предварительного человеческого разбора. Anthropic прямо допускает, что часть результатов окажется ошибочной или не подтвердится. Такая конструкция позволяет проводить проверки быстрее и чаще, но переносит на команду проекта работу по первичной оценке, воспроизведению и приоритизации найденных проблем.

Как устроено подключение и отчёты.

Участие в программе добровольное. По данным DEV Community, ключевые мейнтейнеры подают заявку через GitHub, а Anthropic рассматривает проекты индивидуально. Среди ориентиров названы подходы Google OSS-Fuzz и приоритет для ПО, важного для инфраструктуры или безопасности. Это означает, что бесплатный доступ не следует трактовать как автоматическое подключение любого репозитория.

Отчёт, согласно описанию сервиса, может включать воспроизводимый пример, объяснение предполагаемой проблемы и вариант исправления. Такой формат делает результат удобнее для технической проверки, однако наличие proof of concept или патча само по себе не доказывает существование уязвимости. Авторы проекта должны подтвердить сценарий на своей кодовой базе, проверить влияние предложенного исправления и решить, как раскрывать проблему в рамках принятой практики координированного раскрытия.

Скорость сканирования не отменяет проверку.

В описании FourWeekMBA говорится, что Anthropic ожидает долю подтверждаемых находок выше 90%. Это именно ожидание компании, а не независимый показатель качества, поэтому его нельзя переносить на каждый язык программирования, тип проекта или класс уязвимостей. Там же отмечается, что отчёты могут содержать неверную оценку серьёзности проблемы.

Отдельные предварительные результаты выглядят обнадёживающе, но их контекст важен. Time News пишет, что до запуска профессиональные пентестеры оценили 97 критических и высокосерьёзных находок в 48 проектах. В доступном описании нет полной методики этой проверки, состава проектов и данных обо всех ложных срабатываниях. Поэтому показатель нельзя считать измерением точности OSS Scanner для всей экосистемы open source, но он показывает, что Anthropic тестировала конвейер не только на единичных примерах.

Практически OSS Scanner имеет смысл включать в существующий процесс работы с безопасностью, а не использовать вместо него. Команде потребуется назначить ответственного за входящие отчёты, определить порядок воспроизведения и отделить подтверждённые уязвимости от ошибок модели. Для небольших проектов именно этот этап может стать ограничением: больше сигналов полезны, только если их есть кому оперативно проверять и устранять.

Контекст рынка и риск перегрузки мейнтейнеров.

Запуск входит в Anthropic Cyber Mission — инициативу, которая, по данным FourWeekMBA, начинается с поддержки критической инфраструктуры и open-source-разработки. В более широком контексте AI уже применяется для поиска ошибок в коде: The Verge приводит пример уязвимости Copy Fail, затронувшей почти все Linux-дистрибутивы. Одновременно издание указывает на противоположный эффект — проекты, включая команды вокруг Linus Torvalds и Google, сталкивались с наплывом сгенерированных AI сообщений об ошибках.

Именно соотношение полезных сигналов и операционной нагрузки станет главным критерием для OSS Scanner. В отдельных публикациях появляются более узкие трактовки продукта: KuCoin связывает его прежде всего с blockchain-рисками и упоминает Project Glasswing. Другие доступные описания, напротив, представляют OSS Scanner как сервис для open-source-проектов в целом и не указывают на такое ограничение. Мейнтейнерам и компаниям, зависящим от открытого ПО, стоит опираться на условия конкретного подключения, а не на вторичные интерпретации назначения программы.

Для индустрии это ещё один шаг к модели, в которой frontier-модели становятся постоянным инструментом защитного анализа кода. Однако ценность такого инструмента определяется не числом сгенерированных отчётов, а тем, сколько из них можно воспроизвести, исправить и безопасно довести до пользователей. Бесплатное сканирование снижает барьер входа, но не заменяет техническую экспертизу и ответственность команды за решения по безопасности.