Новый инструмент для проверки кода
Компания Anthropic вывела на рынок новый сервис под названием OSS Scanner, предназначенный для поиска уязвимостей в программном обеспечении с открытым исходным кодом. Разработчики таких проектов могут подключить свои репозитории к системе, чтобы регулярно получать подробные отчеты о безопасности. Проверки выполняются передовыми нейросетями компании, включая модели Claude Opus 5.5 и Claude Mythos, без взимания платы с участников.
Особенности работы и статистика
Главная особенность нового сканера заключается в том, что все отчеты формируются искусственным интеллектом полностью автоматически. В системе отсутствует этап предварительной ручной модерации или проверки специалистами. Такой подход позволяет проводить аудит кода гораздо быстрее и чаще, однако разработчики предупреждают о вероятности появления ложных или некорректных срабатываний. Каждый отчет включает воспроизводимый пример, объяснение уязвимости с указанием коммита и готовый патч. Во время проверки 97 критических находок 88% полностью соответствовали стандартам раскрытия, 12 дублировали известные проблемы, и лишь одна оказалась ложной. Мейнтейнеры уже оценили сервис: создатель curl Даниэль Стенберг сообщил, что сканер помог обнаружить серьезные уязвимости.
Контекст и внимание к безопасности
Интерес крупных игроков к защите открытого кода обусловлен его критической ролью для всей мировой цифровой инфраструктуры. Многие фундаментальные компоненты интернета создаются силами небольших команд энтузиастов, которые часто не справляются с потоком потенциальных угроз и автоматизированных отчетов. Подобные инициативы призваны снизить риски повторения масштабных инцидентов, подобных уязвимостям в утилите XZ Utils или критическим ошибкам в дистрибутивах Linux.
Что это значит для вас
Если вы поддерживаете собственный проект с открытым исходным кодом, вы можете подать заявку на участие в программе сканирования через GitHub, чтобы бесплатно получать ранние предупреждения о потенциальных слабых местах в кодовой базе. Стоит учитывать, что из-за отсутствия ручной проверки и ограничения ответственности Anthropic до $1000 отчеты могут содержать неточности или ломать код предложенными патчами, поэтому каждую находку придется перепроверять самостоятельно. Для обычных пользователей это означает повышение общей надежности софта, на котором строятся современные сетевые сервисы.
