Пост канала
- ссылка
Компания Anthropic запустила OSS Scanner - бесплатный сервис для поиска уязвимостей в программах с открытым исходным кодом Его цель - помочь разработчикам открытого ПО (open source) быстрее находить уязвимости. OSS Scanner регулярно сканирует проекты с открытым исходным кодом, которые добровольно подключились к программе (opt-in). Для анализа используются мощные языковые модели Anthropic, в том числе Claude Mythos. После сканирования сервис присылает мейнтейнерам (руководителям проекта) отчёт. В нём обычно есть: * Пример для воспроизведения (reproducer) - чтобы легко проверить, действительно ли есть проблема. * Объяснение уязвимости и её потенциальной опасности. * Бисекция (bisect) - где возможно, модель помогает определить, в какой момент появилась ошибка. * Предложенный патч - если модель смогла сгенерировать исправление. Чтобы проект попал в сканирование, основной мейнтейнер должен отправить pull request в специальный репозиторий на GitHub (anthropics/oss-scanner). В PR добавляется директория с конфигурацией. При этом Anthropic рассматривает заявки индивидуально. В приоритете проекты, которые критически важны для инфраструктуры или имеют серьёзные последствия для безопасности пользователей. Во время настройки нужно подготовить несколько файлов: * project.yaml (обязательно) - для конфигурации сканера. * Dockerfile (обязательно) - чтобы описать, как собрать проект и установить зависимости. * threat_model.md (опционально, но очень рекомендуется) - чтобы поделиться с сканером пониманием того, какие угрозы актуальны для этого проекта. Есть и полезные утилиты: перед PR можно запустить tools/validate.py (чтобы проверить конфигурацию) или tools/check (чтобы смоделировать сборку в изолированной среде, как это сделает сам сканер). Отчёты генерируются полностью моделями ИИ, без предварительной проверки человеком. Из-за этого в них могут встречаться неточности: ложные срабатывания, завышенные оценки серьёзности или ситуации, когда модель неверно поняла специфику угроз проекта. Поэтому мейнтейнерам важно самостоятельно проверять выводы сканера. Финансирование программы обеспечивается через Defender Advantage Fund (0xDAF), поэтому для самих проектов участие остаётся бесплатным. Anthropic продолжает отдельно передавать через свой процесс согласованного раскрытия (CVD) те находки, которые прошли ручную проверку специалистами. https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
Открыть в MAX- Просмотры
- 215
- ER
- 1,4%
- Реакции
- 3