אנתרופיק משיקה את OSS Scanner: סורק פגיעויות AI חינמי לפרויקטי קוד פתוח

אנתרופיק השיקה את OSS Scanner. זהו סורק פגיעויות אבטחה חינמי שמיועד לפרויקטי קוד פתוח (open source) קריטיים. פרויקט מצטרף רק אם הוא בוחר בכך (opt-in). הסורק מריץ על קוד הפרויקטים שנרשמו את המודלים החזקים ביותר של החברה, וביניהם Claude Mythos. הדוחות שהוא מפיק נשלחים ישירות למתחזקי הפרויקטים, בלי שאדם עובר עליהם קודם.

איך זה עובד

לפי הדיווח ב-MarkTechPost, השירות מבוסס על שלושה עקרונות: הוא חינמי, ההצטרפות אליו וולונטרית, והוא מכוון לפרויקטים שמוגדרים קריטיים. פרויקט שנרשם עובר סריקה של המודלים, והממצאים מגיעים לצוות שמתחזק אותו בלי שלב ביניים של בדיקה אנושית.

ההחלטה לוותר על הבדיקה האנושית היא לב הסיפור. מצד אחד, הממצאים מגיעים מהר יותר: בלי צוות בודקים באמצע, אין עיכוב בין הרגע שהמודל מזהה בעיה לרגע שהמתחזק שומע עליה. מצד שני, מישהו עדיין צריך לבדוק אם הממצא אמיתי, כמה הוא חמור ואיך מתקנים אותו. העבודה הזאת, שנקראת triage (מיון ותיעדוף), עוברת עכשיו כולה לצוותי הפרויקטים.

למה זה חשוב

הרבה מהתוכנה שעליה נשענים שירותים מסחריים, ממשלות ותשתיות בנויה על פרויקטי קוד פתוח. פרויקטים רבים כאלה מתוחזקים בידי צוותים קטנים, לפעמים מתנדבים, שאין להם משאבים לבצע ביקורות אבטחה יקרות. כלי חינמי שמריץ מודלי שפה גדולים (LLM) מתקדמים על הקוד עשוי לתת להם יכולת שבדרך כלל זמינה רק לארגונים גדולים.

אבל המחיר של הגישה הזאת הוא זמן המתחזקים. דוח שנשלח בלי סינון אנושי עלול לכלול גם "התראות שווא", כלומר ממצאים שנראים כמו פגיעות אבל אינם כאלה. כל דוח כזה צריך לבדוק ולהפריך. בקהילת הקוד הפתוח עלתה בשנים האחרונות ביקורת על דיווחי באגים שנוצרו באמצעות AI והעמיסו על מתחזקים, ולכן ככל הנראה איכות הדוחות תקבע אם הכלי ייתפס כעזרה או כעוד מקור לרעש. העובדה שההצטרפות וולונטרית נותנת לפרויקטים בחירה: מי שחושש מעומס יכול פשוט לא להירשם.

המשמעות

המהלך מלמד ככל הנראה שאנתרופיק בוטחת מספיק ביכולות של המודלים המובילים שלה, ובהם Claude Mythos, כדי לשלוח את הממצאים שלהם ישירות לפרויקטים חיצוניים. בעולם האבטחה, מהירות הגילוי חשובה: פגיעות שמתגלה ומתוקנת מוקדם מקצרת את פרק הזמן שבו תוקפים יכולים לנצל אותה. השאלה הפתוחה היא אם צוותי הפרויקטים יוכלו לעמוד בקצב, ואם המהירות שהכלי מוסיף לא תתקזז בזמן שיושקע במיון הדוחות.