Pertanyaan yang sering diajukan

Repositori git publik apa pun yang dapat diakses melalui HTTPS: instance GitHub, GitLab, Codeberg, Bitbucket, Gitea, atau Forgejo, serta forge yang di-host sendiri. Repositori privat dan tautan dengan kredensial tidak didukung.

Audit membaca kode sumber sebagai teks, sehingga mendukung sebagian besar bahasa: C, C++, Rust, Go, Java, Kotlin, C#, Python, JavaScript, TypeScript, PHP, Ruby, Swift, Scala, Elixir, Lua, shell, dan lainnya. Hasil paling mendalam biasanya diperoleh pada parser C/C++, backend web, dan apa pun yang menangani input tidak tepercaya.

Pemindaian cepat biasanya selesai dalam 3–10 menit, tergantung ukuran dan antrean. Pemindaian mendalam untuk proyek yang terdaftar membaca lebih banyak kode dan dapat memakan waktu 15–40 menit.

Repositori yang sangat besar diaudit sebagian: pemindai memeringkat file berdasarkan risiko dan membaca file paling berisiko sesuai anggaran. Laporan menunjukkan jumlah file dan baris yang benar-benar dibaca.

Ya. Klik Branch di bawah kolom input, atau tempelkan tautan ke branch seperti …/tree/release-2.4.

Setiap pemindaian memerlukan biaya nyata untuk penggunaan model. Agar layanan tetap gratis, kami membatasi jumlah pemindaian per pengunjung dan per repositori, serta menetapkan anggaran harian. Jika anggaran habis, coba lagi keesokan harinya (UTC).

Setiap temuan telah lolos dari agen verifikator independen yang berupaya membantahnya, dan laporan menunjukkan jumlah kandidat yang ditolak. Meski demikian, temuan dihasilkan oleh model dan tidak ditinjau manusia: tingkat keparahan bisa dilebih-lebihkan dan model dapat salah menafsirkan threat model Anda. Anggap temuan sebagai petunjuk kuat.

Tidak ada pemindai yang bisa menjaminnya. Laporan bersih berarti kode paling berisiko yang kami baca tidak menunjukkan bug yang dapat dipertahankan oleh verifikator. Fuzzing, tinjauan, dan pendaftaran untuk pemindaian mendalam dapat memperluas cakupan.

Reproducer hanya ditampilkan setelah seseorang membuktikan akses tulis ke repositori dengan melakukan commit file token. Ini mencegah eksploit siap pakai jatuh ke tangan orang yang sekadar menempelkan tautan.

Unggah ke GitHub code scanning (github/codeql-action/upload-sarif) atau alat apa pun yang membaca SARIF 2.1.0. Temuan kemudian akan muncul sebagai peringatan pada baris yang tepat.

Tidak wajib, tetapi baris seperti “Reported-by: OSS Scanner (ossscanner.org), OSS-2026-XXXXXXXX” dalam pesan commit membantu kami mengukur temuan mana yang benar-benar valid.

Ya — gunakan Valid, Positif palsu, atau Sudah diketahui/duplikat pada setiap temuan. Masukan ini kami gunakan untuk menyetel prompt dan ambang batas.

Hanya orang yang memiliki tautannya. ID laporan dibuat secara acak dan sulit ditebak, halaman diberi noindex dan tidak dicantumkan di mana pun.

Tidak. Klon dihapus saat pemindaian selesai. Laporan menyimpan cuplikan singkat baris yang terdampak, model ancaman, dan metadata seperti hash commit.

Ya. File yang dipilih dikirim ke model Claude melalui OpenRouter, yang meneruskannya ke Anthropic, Amazon Bedrock, atau Google Vertex. Hanya kode publik yang dipindai.

Tidak akan. Kami tidak memublikasikan temuan, membuat issue publik, atau menetapkan tenggat pengungkapan.

Pemindaian mendalam dengan model terkuat dan anggaran lebih besar, pemindaian ulang mingguan otomatis saat commit baru masuk, laporan melalui email, dan model ancaman yang tersimpan secara persisten.

Anda melakukan commit pada file bernama ossscanner-verify.txt yang berisi token yang kami berikan. Hanya orang yang memiliki akses tulis yang dapat melakukannya.

Ya, kapan saja melalui tautan pengelolaan Anda: jeda, lanjutkan, atau hapus proyek.

Bukan. ossscanner.org adalah proyek independen, tidak berafiliasi dengan atau didukung oleh Anthropic. Kami menggunakan model Claude melalui API publik.

Layanan gratis yang dapat digunakan secara sukarela, diluncurkan pada 8 Oktober 2026, yang memindai proyek open-source kritis menggunakan model Anthropic yang paling canggih, termasuk Claude Mythos, dan mengirimkan laporan yang belum ditinjau kepada maintainer melalui email. Proyek dapat mendaftar dengan mengajukan pull request ke github.com/anthropics/oss-scanner.

Ya. Pembuat model ancaman kami menghasilkan file .oss-scanner/threat_model.md yang sama dengan yang dibaca pemindai Anthropic, dan panduan kami menghasilkan file project.yaml untuk pull request mereka.