Anthropic представила OSS Scanner — бесплатную службу для автоматизированного выявления уязвимостей в проектах с открытым исходным кодом. В работе сервиса используются передовые модели компании, такие как Claude Opus 5.5 и Claude Mythos, которые регулярно анализируют код подключенных проектов.

В отличие от коммерческого продукта Claude Security, предназначенного для корпоративных клиентов, OSS Scanner предоставляет возможность проведения аудита безопасности опенсорсных решений на безвозмездной основе.

Одной из главных особенностей сервиса является исключение участия человека в процессе проверки. Сгенерированные моделью отчеты сразу же передаются разработчикам, минуя этап одобрения со стороны специалистов Anthropic. Компания несколько недель тестировала подобный подход с участием множества открытых проектов и получила сотни сообщений об ошибках, включая обнаружение уязвимостей, позволяющих удаленно выполнять код без авторизации. Каждый отчет содержит воспроизводимый пример, описание выявленной уязвимости – при наличии информации о коммите, в котором была допущена ошибка, – а также предлагаемый патч.

Масштабы проблемы иллюстрируются статистикой: за полгода работы аналогичной внутренней системы модели выявили более 29 000 потенциальных уязвимостей, однако проверка была проведена лишь для около 6 000 из них. Около 5 000 непроверенных отчетов уже переданы тестерам по запросу на предоставление всей доступной информации. Для подтверждения эффективности пайплайна специалисты Anthropic проверили 97 критических и высокоопасных обнаружений из 48 проектов: 88% соответствовали требованиям скоординированного раскрытия, еще 12 реальных уязвимостей оказались дублирующими уже известные проблемы, а лишь одна была ошибочным срабатыванием.

Разработчики отмечают высокую эффективность инструмента: Даниэль Стенберг, создатель библиотеки curl, подтвердил, что сканер позволил выявить ряд недочетов, в том числе критическую уязвимость, которая является одной из самых значительных за последние годы. Специалист Тодд Уска из компании wolfSSL проинформировал о 74 обнаруженных несоответствиях, среди которых лишь два оказались ошибочными, а пять были добавлены в каталог известных уязвимостей безопасности.

Вместе с тем, пользовательское соглашение содержит важное уточнение: компания Anthropic устанавливает предел своей ответственности на уровне 1000 долларов и предупреждает о возможности неточной оценки степени опасности обнаруженных проблем или некорректной работы предложенных исправлений.