Έντεκα ημέρες μετά την εκκίνηση, το OSS Scanner της Anthropic είχε βρει 77 κρίσιμα και 803 σοβαρά κενά ασφαλείας, με βάση τη δική του βαθμολόγηση. Κανένας άνθρωπος δεν είδε τις αναφορές πριν φτάσουν στους δέκτες τους. Αυτό είναι το πείραμα της εταιρείας: γρήγορα ευρήματα, με τη διαλογή να μένει στις ομάδες των έργων.
Το OSS Scanner είναι δωρεάν υπηρεσία για κρίσιμα έργα ανοιχτού κώδικα, με συμμετοχή μόνο κατόπιν αίτησης. Τρέχει τα ισχυρότερα μοντέλα της Anthropic, μαζί με το Claude Mythos, πάνω στον κώδικα των έργων που έχουν γραφτεί. Το διατηρούν από κοινού η ομάδα Frontier Red Team και η ομάδα Safeguards Research. Η ιδέα θυμίζει το OSS-Fuzz της Google, με μοντέλα γλώσσας στη θέση των fuzzers, δηλαδή των εργαλείων που βομβαρδίζουν ένα πρόγραμμα με τυχαία δεδομένα για να το «σπάσουν». Σύμφωνα με το MarkTechPost, μέχρι τις 19 Οκτωβρίου είχαν γίνει δεκτά 114 έργα από περίπου 650 αιτήσεις.
Το πρόβλημα που προηγήθηκε
Σε έξι μήνες τα μοντέλα της Anthropic είχαν εντοπίσει πάνω από 29.000 πιθανά κενά. Άνθρωποι έλεγξαν περίπου 6.000. Σχεδόν 5.000 αναφορές ακόμη πήγαν απευθείας σε συντηρητές που είχαν ζητήσει να τις λαμβάνουν όλες, επαληθευμένες ή όχι. Το OSS Scanner μετατρέπει αυτό το άτυπο αίτημα σε οργανωμένο πρόγραμμα.
Πώς μπαίνει ένα έργο και τι παίρνει πίσω
Ο συντηρητής ανοίγει pull request στο αποθετήριο anthropics/oss-scanner και προσθέτει ένα αρχείο ρυθμίσεων με το αποθετήριο, μια επαφή και τη διαδρομή ενός Dockerfile. Με αυτό χτίζεται το έργο, ενώ ο έλεγχος γίνεται σε απομονωμένη εικονική μηχανή χωρίς πρόσβαση στο internet. Προαιρετικά, το έργο μπορεί να δηλώσει μοντέλο απειλών με τις κακόβουλες εισόδους που το αφορούν και την κλίμακα σοβαρότητας. Χωρίς αυτό, ο σαρωτής εικάζει.
Κάθε αναφορά περιλαμβάνει αυτοτελές παράδειγμα αναπαραγωγής του σφάλματος και εξήγηση. Όπου γίνεται, δείχνει και την αλλαγή κώδικα που το εισήγαγε, και συνοδεύεται από προτεινόμενη διόρθωση.
Πόσα από τα ευρήματα στέκουν
Οι δοκιμαστές διείσδυσης της Anthropic έλεγξαν 97 κρίσιμα και σοβαρά ευρήματα από 48 έργα. Τα 85 (88%) πληρούσαν τον πήχη για να μπουν στη διαδικασία συντονισμένης γνωστοποίησης της εταιρείας. Άλλα 11 ήταν πραγματικά, αλλά επανέλαβαν γνωστά προβλήματα ή άλλα ευρήματα του ίδιου σαρωτή. Μόνο ένα ήταν λανθασμένο.
Από τους συντηρητές, το wolfSSL λέει ότι 72 από τις 74 αναφορές ήταν έγκυρες και 5 έγιναν CVE. Το curl διόρθωσε το CVE-2026-92392, ένα σοβαρό σφάλμα στο HTTP/2, στην έκδοση 8.23.0 της 14ης Οκτωβρίου. Υπάρχει όμως και παράπονο: συντηρητές αναφέρουν ότι η σοβαρότητα φουσκώνει. Επίσης, για τα ευρήματα που δεν έχουν επικυρωθεί δεν ισχύει η προθεσμία των 90 ημερών.
Η Anthropic συνδέει το χρονισμό με τα benchmarks: στο CyberGym τα μοντέλα πέρασαν από λιγότερο από 20% των κενών σε πάνω από 85%.
Πηγή: MarkTechPost
