Anthropic открыла бесплатный OSS Scanner: ИИ ищет уязвимости в открытом коде и присылает отчёты мейнтейнерам без ручной проверки
Материал подготовлен Sintelligent с помощью ИИ. Опубликовано в SI: . Обновлено: .
Создатели открытого кода получают бесплатного ИИ-проверяющего, но разбирать его отчёты всё равно им самим.
Бесплатный сервис использует сильнейшие модели Anthropic и опирается на опыт проекта Project Glasswing: мейнтейнеры, согласившиеся участвовать, получают периодические проверки и отчёты с описанием подозреваемой уязвимости, способа воспроизведения и, когда возможно, исправлением. По словам Anthropic, проверка человеком стала узким местом в её исследованиях уязвимостей, поэтому находки идут командам проектов без ручной проверки, а ответственность за проверку и приоритеты остаётся на мейнтейнерах. Заявиться могут основные мейнтейнеры проектов, критичных для инфраструктуры, через репозиторий OSS Scanner на GitHub. По данным Help Net Security, из 97 находок высокой и критической тяжести в 48 проектах, оценённых пентестерами, 85 прошли критерии скоординированного раскрытия, 11 оказались настоящими, но уже известными, 1 — ошибочной; для непроверенных находок обязательного срока раскрытия нет, после валидации действует 90-дневный. Антон Арапов из OpenSSL Corporation сказал, что отчёты, полученные от Anthropic, были «не хуже, а иногда лучше, чем от людей»; Anthropic оговаривает, что отчёты могут преувеличивать тяжесть уязвимости.
Источники 2