شرکت هوش مصنوعی Anthropic رسماً در تاریخ ۸ اکتبر به وقت محلی، راه‌اندازی سرویس جدید و اختیاری تشخیص آسیب‌پذیری به نام OSS Scanner را اعلام کرد. هدف این پروژه ارائه اسکن‌های امنیتی جامع، منظم و رایگان برای نرم‌افزارهای متن‌باز جهانی با استفاده از قدرتمندترین مدل‌های هوش مصنوعی Anthropic، از جمله Claude Mythos است.
نحوه دسترسی و معیارهای بررسی
برای دسترسی به این برنامه، نگه‌دارندگان اصلی پروژه‌های متن‌باز واجد شرایط می‌توانند به سادگی یک درخواست پول (PR) را به مخزن GitHub ابزار OSS Scanner، مطابق با یک الگوی پروژه استاندارد، ارسال کنند. معیارهای کلی بررسی مشابه OSS-Fuzz گوگل است و عمدتاً پروژه‌های متن‌باز اصلی را هدف قرار می‌دهد که تأثیر قابل توجهی بر زیرساخت‌های حیاتی و ایمنی کاربران دارند.
تجربیات گذشته و نتایج اولیه
با نگاهی به اکتشافات فنی قبلی، Anthropic طی شش ماه گذشته از جدیدترین مدل‌های خود برای اسکن پروژه‌های نرم‌افزاری اصلی در سراسر جهان استفاده کرده و بیش از ۲۹,۰۰۰ آسیب‌پذیری احتمالی را شناسایی کرده است. با این حال، به دلیل محدودیت منابع انسانی، تاکنون تنها حدود ۶,۰۰۰ مورد از این آسیب‌پذیری‌ها به صورت دستی بررسی و ارزیابی شده‌اند.
مکانیسم افشا و گزارش‌دهی
در مورد مکانیسم افشا، Anthropic اعلام کرده است که به استفاده از فرآیند موجود افشای هماهنگ آسیب‌پذیری (CVD) برای ارسال دستی گزارش‌های آسیب‌پذیری تأیید شده ادامه خواهد داد؛ در همین حال، یک «مسیر سریع» اختیاری نیز برای تیم‌هایی که مایلند بلافاصله پس از تولید گزارش آسیب‌پذیری به جزئیات دسترسی پیدا کنند، فراهم شده است.
عملکرد و دقت OSS Scanner
بر اساس معرفی رسمی، نتایج اسکن OSS Scanner کاملاً توسط مدل‌های بزرگ تولید می‌شوند و شامل هیچ فرآیند تأیید یا طبقه‌بندی دستی نیستند. در هفته‌های اخیر، Anthropic این فرآیند تشخیص خودکار را در ده‌ها پروژه متن‌باز آزمایش کرده است.
برای اعتبارسنجی نسخه اولیه اسکنر، Anthropic از کارشناسان ارشد تست نفوذ که مسئول ممیزی‌های CVD هستند، خواست تا ۹۷ آسیب‌پذیری با شدت بالا و حیاتی را که در ۴۸ پروژه شناسایی شده بودند، به صورت دستی تأیید کنند. نتایج نشان داد که ۸۵ مورد (۸۸%) از استانداردها برای ورود به فرآیند افشای CVD برخوردار بودند؛ از ۱۲ یافته باقیمانده، ۱۱ مورد واقعی بودند اما به عنوان نقص‌های شناخته شده یا تکراری از سایر نتایج این اسکن در نظر گرفته شدند و تنها یک مورد به عنوان مثبت کاذب (false positive) تشخیص داده شد.
Anthropic رسماً اعلام کرده است که اگرچه اسکنر نمی‌تواند کمال مطلق را تضمین کند، اما به پالایش و بهینه‌سازی کل سیستم تشخیص بر اساس بازخورد نگه‌دارندگان و با تکامل مدل‌های زیربنایی ادامه خواهد داد.