Anthropic запустила бесплатный ИИ-сканер уязвимостей для открытого ПО

8 октября 2026 года Anthropic объявила о запуске OSS Scanner, сервиса для регулярной проверки программ с открытым исходным кодом. Для анализа используются наиболее мощные модели компании, включая Claude Mythos. Разработчики получают описание потенциальной уязвимости, инструкции по ее воспроизведению и, если возможно, готовое исправление. За проверки платить не нужно.

Интереснее всего здесь изменение порядка работы с обнаруженными ошибками. Раньше Anthropic передавала сведения об уязвимостях после проверки специалистами в рамках своей программы согласованного раскрытия. Такой подход помогал отсеивать ложные срабатывания, но задерживал передачу информации разработчикам. В OSS Scanner эту промежуточную проверку убрали: результаты работы нейросети отправляются непосредственно команде проекта.

Для сопровождающих крупные библиотеки и программные компоненты скорость обнаружения ошибок действительно имеет значение. Одну и ту же библиотеку могут использовать сотни других программ. Уязвимость в ней затрагивает гораздо больше систем, чем кажется по размеру исходного проекта.

Anthropic уже проверила раннюю версию сервиса на десятках открытых проектов. В ходе предварительной оценки специалисты по тестированию безопасности изучили 97 находок высокой и критической степени опасности в 48 проектах. По данным компании, 85 соответствовали критериям согласованного раскрытия, еще 11 оказались настоящими уязвимостями, но дублировали известные проблемы или другие находки. Одна находка была признана ошибочной.

Результат выглядит обнадеживающе, хотя переносить его на все будущие проверки пока нельзя. Выборка охватывает только определенную группу серьезных находок ранней версии сканера. Она не позволяет определить, сколько реальных уязвимостей система пропускает и насколько часто ошибается при массовом использовании.

В официальном описании OSS Scanner разработчики Anthropic признают, что модель может неправильно оценивать опасность ошибки или неверно понимать условия безопасности конкретной программы. Например, сообщение о критической уязвимости может оказаться менее серьезным, если предполагаемый сценарий атаки невозможен при реальной конфигурации системы.

Поэтому участие в программе рассчитано прежде всего на команды, у которых уже есть ресурсы для анализа сообщений о серьезных проблемах безопасности. Бесплатное сканирование само по себе не означает бесплатного исправления ошибок. Полученный отчет необходимо проверить, воспроизвести описанную проблему и убедиться, что предложенный патч не нарушает работу программы.

Подключиться к OSS Scanner могут основные сопровождающие подходящих открытых проектов. Заявка подается через репозиторий Anthropic на GitHub. Потребуется указать адрес исходного кода, контактную электронную почту и Dockerfile для подготовки окружения. Сам анализ выполняется в изолированной среде без доступа к интернету.

Автоматического допуска для любого публичного репозитория нет. Anthropic рассматривает заявки индивидуально, ориентируясь на значимость программного обеспечения для инфраструктуры и безопасности пользователей. Отдельных условий участия для российских разработчиков в опубликованном описании сервиса не приведено.

Еще одна особенность касается раскрытия найденных уязвимостей. На автоматически сформированные сообщения не распространяется обязательный 90-дневный срок публичного раскрытия. Если специалисты Anthropic позднее подтвердят проблему вручную в рамках стандартной программы, отсчет такого срока может начаться после уведомления сопровождающих.

OSS Scanner делает глубокие проверки исходного кода доступнее для проектов, у которых нет бюджета на коммерческие инструменты безопасности. Но вместе с этим переносит значительную часть работы по проверке результатов на самих разработчиков. Для крупных команд с налаженным процессом исправления ошибок это может ускорить устранение уязвимостей. Небольшим проектам поток автоматических отчетов способен добавить работы, особенно если часть находок окажется ложной.