Anthropic در ۸ اکتبر ۲۰۲۶، OSS Scanner را راه‌اندازی کرد؛ یک ابزار رایگان برای اسکن آسیب‌پذیری در پروژه‌های متن‌باز حیاتی. این اسکنر با قوی‌ترین مدل‌های شرکت، از جمله Claude Mythos، روی کدبیس‌های ثبت‌شده اجرا می‌شود و گزارش‌ها را مستقیم — بدون هیچ بازبینی انسانی — به دست نگهدارندگان پروژه می‌رساند.

مقیاس و دقت#

تا ۱۹ اکتبر، از حدود ۶۵۰ درخواست، ۱۱۴ پروژه پذیرفته شدند. در ۱۱ روز نخست پس از راه‌اندازی، ۷۷ یافته با رتبه بحرانی و ۸۰۳ یافته با رتبه بالا ثبت شد.

تیم Anthropic از تست‌کنندگان نفوذ خود خواست ۹۷ یافته بحرانی و بالا را در ۴۸ پروژه بررسی کنند. نتایج: ۸۵ مورد (۸۸٪) معیار افشای هماهنگ آسیب‌پذیری را داشتند، ۱۱ مورد واقعی بودند اما با مشکلات شناخته‌شده تکراری، و فقط ۱ مورد نادرست بود.

نحوه کار#

نگهدارنده اصلی پروژه با ثبت Pull Request در ریپازیتوری anthropics/oss-scanner و ارائه یک Dockerfile ثبت‌نام می‌کند. بیلد پروژه با دسترسی شبکه انجام می‌شود، سپس ممیزی در یک VM ایزوله بدون اینترنت اجرا می‌شود. هر گزارش شامل یک Reproducer خودکفا، توضیح باگ، و در صورت امکان Bisection تا کامیتِ معرفی‌کننده مشکل است.

نمونه‌های عملیاتی#

  • wolfSSL از ۷۴ گزارش، ۷۲ مورد معتبر دریافت کرد؛ ۵ مورد به CVE تبدیل شدند.
  • curl آسیب‌پذیری CVE-2026-92392 (استفاده پس از آزادسازی در آپلود HTTP/2، رتبه High) را پچ کرد. این باگ از curl 8.12.0 تا 8.22.0 تأثیرگذار بود و در نسخه 8.23.0 (منتشرشده ۱۴ اکتبر ۲۰۲۶) رفع شد.

تحلیل: هزینه واقعی «بدون بازبینی انسانی»#

OSS Scanner عملاً یک تصمیم طراحی را به نگهدارنده تحمیل می‌کند: سرعت در برابر بار کاری. ۸۸٪ دقت و ۱ خطای مثبت در ۹۷ گزارش، عددی قابل‌قبول است. اما ۱۱ تکراری در همان ۹۷ یعنی اگر حجم گزارش‌ها به صدها یا هزاران برسد، نگهدارنده‌ای که تیم کوچک دارد بخشی از وقتش صرف فیلتر کردن یافته‌های تکراری و شدت‌های تورم‌یافته می‌شود.

آنچه از این به بعد فرق می‌کند: پروژه‌های حیاتی که تا پیش از این دسترسی به مدل‌های سطح‌بالا برای ممیزی نداشتند، حالا رایگان به آن دسترسی دارند. آنچه فرق نمی‌کند: هنوز هیچ الزام زمانی برای افشای یافته‌های تأییدنشده وجود ندارد — برخلاف OSS-Fuzz گوگل که ۹۰ روز + ۱۴ روز مهلت دارد. اگر نگهدارنده‌ای نگران افشای عمومی یافته‌ی تأییدنشده است، این تفاوت را باید جدی بگیرد.

منبع: MarkTechPost