Karşılaştır

Açık kaynak projeniz için güvenlik tarayıcısı seçme

Yapay zekâ denetimleri, fuzzing ve kural tabanlı statik analiz farklı hataları bulur. Güvenliği iyi sağlanan projelerin çoğunda birden fazla yöntem kullanılır. Her birinin en iyi olduğu alanlar şöyle.

ossscanner.org

bağımsız

Tehdit modeli, bağımsız bir doğrulayıcı ajan, kök neden, hatayı getiren commit, olası bir yama ve SARIF içeren her türlü herkese açık repo için yapay zekâ denetimi. Ücretsiz hızlı taramalar ve kayıtlı projeler için haftalık derin taramalar.

En uygun kullanım alanı: Herhangi bir proje için dakikalar içinde, kurulum gerektirmeden doğrulanmış ve açıklamalı bulgular alın.
Sınırlamalar: Yalnızca statik kod incelemesi yapar — kodu derlemez veya çalıştırmaz. Claude Mythos yerine herkese açık modelleri kullanır. Model çıktısı hatalı olabilir.

Anthropic OSS Scanner

Anthropic

Anthropic'in Claude Mythos dâhil en güçlü modelleriyle, Dockerfile kullanılarak oluşturulan projenizin çevrimdışı korumalı alanlarda tarandığı, ücretsiz ve isteğe bağlı periyodik taramalar. İncelenmemiş raporlar, tekrarlanabilir hata örnekleri ve yamalarla birlikte e-posta yoluyla gönderilir.

En uygun kullanım alanı: Düzenli olarak gelen yüksek kaliteli raporları sınıflandırabilecek kritik altyapı projeleri.
Sınırlamalar: Başvurular vaka bazında değerlendirilir; bir pull request, Dockerfile ve maintainer tarafından elle doğrulama gerekir. Çıktılar yalnızca e-postayla gönderilir.

OSS-Fuzz

Google

Kritik açık kaynak projeleri için sürekli, kapsama kılavuzlu fuzzing; otomatik çökme sınıflandırması ve hata bildirimi.

En uygun kullanım alanı: C, C++, Rust veya Go ile yazılmış ayrıştırıcılardaki ve kütüphanelerdeki bellek güvenliği hataları; her çökme tekrarlanabilir.
Sınırlamalar: Fuzz hedefleri ve derleme entegrasyonu gerektirir; fuzz testlerinin ulaşabildiği hataları bulur, mantık veya kimlik doğrulama hatalarını ise nadiren bulur.

CodeQL

GitHub

Sorgu dili ve geniş bir güvenlik sorguları kütüphanesiyle anlamsal kod analizi. GitHub kod taraması aracılığıyla herkese açık repolar için ücretsizdir.

En uygun kullanım alanı: Her pull request'te CI'deki bilinen güvenlik açığı örüntülerini ve veri akışı sorunlarını bulur.
Sınırlamalar: Sorgularının tanımladığı sorunları bulur; yeni mantık hataları ve projeye özgü sorunlar için özel sorgular gerekir.

Semgrep

Semgrep, Inc.

Topluluk ve özel kurallarla hızlı, örüntü tabanlı statik analiz; açık kaynaklı motor yerel olarak veya CI'de çalışır.

En uygun kullanım alanı: Güvenli kodlama kurallarını uygulamak ve yaygın hataları hızla yakalamak.
Sınırlamalar: Kural tabanlı: bilinen örüntülerde yüksek yakalama oranı, niyet veya bağlamı anlama kapasitesi sınırlı.

Claude Security

Anthropic

Claude modelleriyle şirketlerin kendi kodlarındaki güvenlik açıklarını bulup düzeltmesine yardımcı olan Anthropic'in ticari ürünü.

En uygun kullanım alanı: Yazılım geliştirme yaşam döngülerine yapay zekâ destekli güvenlik incelemesi ekleyen şirketler.
Sınırlamalar: Ticari; bireysel açık kaynak proje bakımcılarından ziyade kuruluşları hedefler.

Yapay zekâ denetimi, fuzzing ve statik analiz

Fuzzer'lar milyonlarca üretilmiş girdiyle kodu çalıştırır ve yeniden üretilebilir bellek bozulması hatalarını bulmada rakipsizdir; ancak yalnızca test düzeneğinin erişebildiği kodlarda. CodeQL ve Semgrep gibi kural tabanlı analiz araçları her satırı bilinen örüntülere göre, düşük maliyetle ve her commit'te denetler. Yapay zekâ denetçileri kodu bir incelemeci gibi okur: niyeti anlar, bozuk yetkilendirme veya mantık sorunlarını tespit edebilir ve kök nedeni açıklayabilir; ancak olasılıksaldırlar ve doğrulanmaları gerekir.

Bu nedenle ossscanner.org, her bulguyu göstermeden önce çürütmek için ikinci bir aracı çalıştırır ve CI analizini ve fuzzing'i bunlarla birlikte kullanmanızı önerir.

Küçük bir proje için pratik bir kurulum

CodeQL kod taramasını etkinleştirin (herkese açık depolar için ücretsizdir).
ossscanner.org'da ücretsiz bir tarama çalıştırın ve haftalık derin taramalar için kaydolun.
Yapay zekâ bulgularının CodeQL uyarılarının yanında görünmesi için hazırladığımız SARIF dosyasını GitHub'a yükleyin.
Her tarayıcının kapsamı bilmesi için bir tehdit modeli ekleyin.
Güvenilmeyen ikili dosya biçimlerini işliyorsanız fuzz hedefleri ekleyin ve OSS-Fuzz'ı değerlendirin.
Projeniz kritik altyapı kapsamındaysa Anthropic OSS Scanner'a başvurun.