אנתרופיק משיקה סריקות אבטחה חינמיות לפרויקטים בקוד פתוח, עם המודלים החזקים ביותר שלה

אנתרופיק השיקה שירות חדש בשם OSS Scanner, שנועד לעזור לפרויקטים בקוד פתוח (open source) לאתר חולשות אבטחה בקוד שלהם. כפי שדווח ב-The Verge, החברה מתחייבת שפרויקטים שיצטרפו לשירות יקבלו "סריקות אבטחה יסודיות ותקופתיות על ידי המודלים החזקים ביותר שלנו, ללא עלות".

איך זה עובד, ומה המחיר הנסתר

ההצטרפות לשירות וולונטרית (opt-in): פרויקט שמעוניין בכך נרשם, ובתמורה מקבל דוחות פגיעויות. לפי אנתרופיק, הדוחות יופקו בידי המודלים המתקדמים ביותר שלה, ובהם Claude Mythos, כדי לתת לפרויקטים בקוד פתוח "את היתרון ההגנתי הגדול ביותר".

עם זאת, יש לכך מחיר: הדוחות לא עוברים בדיקה אנושית. החברה כותבת זאת במפורש: "התוצרים של סורק הפגיעויות יופקו כולם על ידי המודל, ללא בדיקה או סינון אנושיים. זה יאפשר סריקה מהירה ותכופה יותר, אבל המשמעות היא שייתכן שחלק מהדוחות יהיו שגויים או לא תקפים".

במילים אחרות, אנתרופיק מעדיפה מהירות והיקף על פני דיוק מובטח, ומעבירה את עבודת האימות לצוותי הפרויקטים עצמם.

שוק צפוף ועייפות מדוחות

OSS Scanner רחוק מלהיות כלי ה-AI הראשון לציד באגים. לפי The Verge, כלי AI כבר עזרו בחודשים האחרונים לחשוף כמה פרצות משמעותיות בתוכנות קוד פתוח. אחת מהן היא הבאג המכונה "Copy Fail", שנחשף במאי והשפיע על כמעט כל הפצות Linux.

לצד זה, יש גם צד שני: חלק מהפרויקטים מתקשים לעמוד בגל הפתאומי של דיווחי באגים שנוצרו על ידי AI. לפי הכתבה, בין המתקשים נמנים גם לינוס טורבלדס, היוצר של Linux, ואפילו גוגל.

למה זה חשוב

פרויקטים רבים בקוד פתוח מתוחזקים בידי צוותים קטנים או מתנדבים, אבל הקוד שלהם משמש תשתית לאינספור מוצרים מסחריים. ייתכן שסריקה תקופתית בחינם תאפשר להם לגלות בעיות לפני שתוקפים ינצלו אותן.

השאלה הפתוחה היא האם הכלי יקל על המתחזקים או יעמיס עליהם עוד. בהינתן שאנתרופיק עצמה מודה שחלק מהדוחות עלולים להיות שגויים, נראה שההצלחה תלויה ביחס בין ממצאים אמיתיים לרעש. אם הסורק יפיק בעיקר התראות שווא, הוא עלול להחריף את בעיית העומס שהקהילה כבר מתלוננת עליה.

מבחינה עסקית, המהלך ככל הנראה משרת גם את אנתרופיק. הצעת המודלים החזקים שלה, כולל Mythos, לקהילת הקוד הפתוח בחינם יכולה להציג אותם בתחום אבטחת הקוד ולחזק את המוניטין של החברה בקרב מפתחים. לא ברור עדיין כמה פרויקטים יצטרפו לשירות, ומה יהיו התוצאות בפועל.