Компания Anthropic официально представила OSS Scanner, специализированный сервис для автоматизированного поиска уязвимостей в проектах с открытым исходным кодом. Инструмент работает на базе самых производительных языковых моделей разработчика и предоставляется мейнтейнерам совершенно бесплатно при условии их добровольного согласия на участие. Запуск этого сервиса знаменует переход от ручного аудита безопасности к полностью автоматизированным конвейерам, где искусственный интеллект берет на себя рутинную работу по анализу миллионов строк кода, оставляя инженерам лишь финальную верификацию и интеграцию патчей.

Эволюция нейросетевого поиска уязвимостей

Технологический скачок в области применения больших языковых моделей для задач кибербезопасности оказался стремительным. Если еще год назад на академическом бенчмарке CyberGym нейросети выявляли менее двадцати процентов существующих уязвимостей, то текущие показатели превысили отметку в восемьдесят пять процентов. Подобная динамика радикально изменила ландшафт взаимодействия между исследователями безопасности и разработчиками свободного программного обеспечения. Мейнтейнеры популярных проектов перестали получать низкокачественные сгенерированные отчеты, заполненные ложными срабатываниями, и начали работать с детальными техническими разборами реальных архитектурных дефектов.

За последние шесть месяцев специалисты Anthropic использовали свои флагманские модели для сканирования критически важных программных продуктов мирового уровня. В результате было обнаружено более двадцати девяти тысяч потенциальных уязвимостей. Однако узким местом стала пропускная способность команды аналитиков: вручную удалось проверить и классифицировать лишь около шести тысяч находок. Понимая, что человеческий фактор тормозит процесс защиты инфраструктуры, компания приняла решение изменить парадигму взаимодействия с сообществом. Разработчики, получавшие первые верифицированные отчеты, все чаще запрашивали полную выгрузку сырых данных вместе с предложенными исправлениями, предпочитая самостоятельно фильтровать информацию. На сегодняшний день почти пять тысяч таких невалидированных отчетов были переданы напрямую авторам проектов, поскольку скорость закрытия уязвимостей стала критически важной в условиях, когда эксплойты могут создаваться за считанные минуты.

Архитектура OSS Scanner и модельный ряд

Вдохновившись успехом проекта OSS-Fuzz от корпорации Google, который годами использует фаззинг для тестирования открытого кода, Anthropic создала аналогичный механизм, но заменила классические фаззеры большими языковыми моделями. В отличие от коммерческого продукта Claude Security, ориентированного на защиту корпоративных сетей крупных предприятий, новый сервис сфокусирован исключительно на поддержке экосистемы открытого кода. Главной архитектурной особенностью OSS Scanner является полный отказ от человеческого контроля на этапе генерации отчетов. Каждый документ формируется нейросетью автономно, что позволяет многократно увеличить частоту и глубину сканирования.

Для анализа привлекаются самые мощные доступные архитектуры, включая новейшую модель Claude Mythos. Сформированный отчет представляет собой самодостаточный технический документ. Он содержит воспроизводящий код для демонстрации проблемы, подробное описание вектора атаки, результаты бисекции для определения точного коммита, внесшего ошибку, а также готовый кандидат на роль патча. Отсутствие этапа ручной модерации означает вероятность появления некорректных данных, однако разработчики сознательно пошли на этот компромисс ради максимальной скорости предоставления защитного преимущества целевым проектам.

Практическая эффективность и отзывы индустрии

Перед публичным релизом конвейер тестировался на десятках открытых проектов в течение нескольких недель. Результаты оказались впечатляющими: среди сотен сгенерированных баг-репортов обнаружились множественные уязвимости, которые удалось объединить в цепочки для реализации несанкционированного удаленного выполнения кода без прохождения аутентификации. Представители ключевых инфраструктурных проектов подтвердили высокое качество работы системы. Разработчики реляционной базы данных PostgreSQL отметили, что значительная часть найденных дефектов сопровождалась патчами, пригодными для использования практически без доработок, что позволило устранить проблемы до выхода стабильных релизов.

Инженеры из OpenSSL Corporation подчеркнули контраст между ранними попытками применения нейросетей полтора года назад, которые генерировали непригодный для работы текст, и текущим качеством сырого вывода моделей Anthropic. По их словам, наличие прикрепленного рабочего эксплойта фактически завершает работу инженера по верификации, так как проблему можно подтвердить мгновенно. Команда криптографической библиотеки wolfSSL сообщила, что из семидесяти четырех полученных отчетов лишь два оказались ошибочными, а пять привели к регистрации официальных идентификаторов CVE. Создатель платформы HotCRP добавил, что алгоритмы продемонстрировали глубокое понимание сложных моделей разграничения прав доступа и грамотно расставили приоритеты найденных ошибок.

Верификация результатов и перспективы развития

Для независимой оценки качества работы системы компания привлекла профессиональных пентестеров, занимающихся проверкой данных в рамках процесса координированного раскрытия уязвимостей. Экспертам предложили проанализировать девяносто семь критических и высокосерьезных дефектов, найденных сканером в сорока восьми проектах. Восемьдесят пять из них полностью соответствовали строгим стандартам ручного аудита. Из оставшихся двенадцати одиннадцать являлись реальными проблемами, дублирующими уже известные баги или другие находки сканера, и лишь один отчет оказался полностью ложным срабатыванием. Такая статистика доказывает зрелость применяемых нейросетевых архитектур.

Несмотря на высокие показатели точности, разработчики признают наличие определенных ограничений. Некоторые мейнтейнеры указывали на завышение уровня критичности отдельных уязвимостей или неверную интерпретацию сканером специфической модели угроз конкретного проекта. Система будет непрерывно улучшаться на основе поступающей обратной связи и по мере обучения новых поколений базовых моделей. Подключение к сервису осуществляется через отправку запроса на слияние кода в специальный репозиторий на платформе GitHub. Критерии отбора проектов аналогичны требованиям OSS-Fuzz: программа должна оказывать существенное влияние на безопасность глобальной инфраструктуры. Параллельно с запуском сканера компания расширила программу поддержки специалистов по кибербезопасности и предоставила бесплатные подписки продвинутого уровня для разработчиков открытого программного обеспечения, формируя комплексную экосистему защиты цифрового пространства силами искусственного интеллекта.