Anthropic запускает OSS Scanner — бесплатный сканер уязвимостей с помощью ИИ для открытого ПО

8 октября 2026 года Anthropic открыла OSS Scanner — сервис, который бесплатно сканирует репозитории с открытым исходным кодом на наличие уязвимостей. По словам Anthropic, сервис создан под влиянием OSS-Fuzz от Google и опирается на опыт компании в Project Glasswing.

Главное отличие от существующей практики раскрытия уязвимостей Anthropic — скорость. За шесть месяцев модели компании обнаружили более 29 000 потенциальных уязвимостей, но команда смогла вручную проверить лишь около 6 000. Теперь подключённые проекты получают результаты работы модели сразу после их подготовки, без проверки человеком. Каждый отчёт содержит самодостаточный сценарий воспроизведения, объяснение, включая поиск коммита, внёсшего ошибку, если это возможно, и возможный патч.

Перед запуском пентестеры Anthropic проверили 97 уязвимостей высокого и критического уровня в 48 проектах: 85 (88%) соответствовали требованиям процедуры скоординированного раскрытия, 11 оказались реальными дубликатами, а одна — ложным срабатыванием. По данным SecurityWeek, Anthropic ожидает, что доля истинных срабатываний превысит 90%.

Для подключения нужно создать pull request в github.com/anthropics/oss-scanner, добавив project.yaml и Dockerfile; критерии допуска аналогичны критериям OSS-Fuzz для критически важных проектов. Для непроверенных сообщений об уязвимостях срок раскрытия не установлен. В тот же день Anthropic также объявила о Critical Infrastructure Defense Program с 11 организациями-партнёрами-основателями в сфере безопасности операционных технологий.

В нашем руководстве описаны подробности и представлен генератор project.yaml.