OSS Scanner od Anthropic: bezplatné hledání chyb potřebuje čas na ověření

TL;DR

• Anthropic spouští OSS Scanner, bezplatné pravidelné bezpečnostní kontroly pro zapojené open-source projekty. Smysl má především tam, kde správci zvládnou nálezy ověřovat a řešit.
• Hlášení vytváří model a před odesláním je nekontroluje člověk. Obsahují ukázku možného zneužití, vysvětlení a návrh opravy, pokud je k dispozici.
• Než svůj projekt přihlásíš, určete si v týmu, kdo nálezy posoudí a otestuje opravy. Samotný počet nalezených chyb bezpečnost nezlepší.

Bezplatná kontrola kódu může malému open-source projektu pomoct najít slabiny, na které dosud neměl čas. Zároveň mu ale přidá práci: někdo musí ověřit, zda chyba skutečně existuje, jak je závažná a jestli navržená oprava něco dalšího nerozbije. Právě podle kapacity na tuto práci se vyplatí posuzovat nový OSS Scanner.

Anthropic službu představil 8. října 2026 jako součást iniciativy Anthropic Cyber Mission. Ta má podpořit obránce ve dvou oblastech: v open-source softwaru a v kritické infrastruktuře. Pro správce menších softwarových projektů je nejkonkrétnější novinkou možnost dostávat pravidelné bezpečnostní nálezy zdarma.

Co OSS Scanner pošle správci projektu

Služba funguje na základě dobrovolného zapojení. Přihlášené projekty mají dostávat pravidelné kontroly od nejvýkonnějších modelů firmy. Každé hlášení má obsahovat vysvětlení chyby, ukázku toho, jak by se dala zneužít, a návrh opravy, pokud je dostupný.

Hlášení odcházejí bez lidské kontroly. Mohou proto obsahovat nepřesnosti, například nesprávné hodnocení závažnosti. Ukázka zneužití dává správci konkrétní podklad k ověření, sama však nezaručuje správnost celého nálezu.

Anthropic službu výslovně směřuje k projektům, které mají kapacitu příchozí nálezy zpracovat. Pro ostatní chce dál poskytovat lidsky ověřená oznámení v rámci koordinovaného oznamování zranitelností. Zapojení do automatických kontrol tedy není jediná popsaná cesta, jak se o problému dozvědět.

Rozhoduje cesta od hlášení k opravě

Zkušenost, kterou firma uvádí z předchozího Project Glasswing, vysvětluje důvod nové iniciativy: mezi nalezením zranitelnosti a její opravou často uběhly měsíce. Najít podezřelé místo v kódu je jen část práce. Následuje ověření, určení priority a bezpečné začlenění opravy.

Představ si, že s kolegou spravuješ otevřenou knihovnu používanou v dalších aplikacích. To je ilustrační situace, ve které může pravidelná kontrola pomoct. Pokud ale oba řešíte vývoj a podporu a nikdo nemá čas na bezpečnostní hlášení, další seznam nálezů může zůstat nevyřízený.

Před přihlášením si proto odpověz na tři otázky:

• Kdo ověří, že popsanou chybu lze v projektu skutečně vyvolat?
• Kdo rozhodne o její závažnosti a pořadí opravy?
• Jak otestuješ navrženou změnu před vydáním nové verze?

Jako měřítko přínosu si pak zvol dobu od přijetí hlášení k ověřené opravě. Vedle ní sleduj čas strávený prověřováním nepřesných nálezů. Tak zjistíš, zda služba tvému týmu skutečně pomáhá.

Kritická infrastruktura dostává jiný druh podpory

Druhou částí Cyber Mission je Critical Infrastructure Defense Program, zkráceně CIDP. Ten propojuje modely Claude, techniky přímo u partnerů a výzkum hrozeb s poskytovateli, kteří zabezpečují například elektrické sítě, vodárny a dopravu. Mezi zakládající partnery patří Dragos, CrowdStrike nebo Rockwell Automation.

Tady opravy komplikují provozní technologie: řídicí zařízení a průmyslové sítě často fungují desítky let a nelze je jednoduše vypnout kvůli aktualizaci. Program proto začíná s omezenou skupinou poskytovatelů, kteří mají zkušenosti s těmito prostředími. Model může pomoct hledat slabiny a připravovat opravy, ale bezpečné provedení změny závisí i na zařízení a podmínkách provozu.

Pro správce open-source projektu z oznámení plyne konkrétní první krok: projdi současná nevyřízená bezpečnostní hlášení a zjisti, zda máte prostor na další. OSS Scanner stojí za zvážení tehdy, když má nový nález komu přistát a může se dostat až k otestované opravě.

Zdroj

Anthropic: Introducing the Anthropic Cyber Mission, 8. října 2026