أعلنت شركة الذكاء الاصطناعي Anthropic رسميًا في 8 أكتوبر/تشرين الأول بالتوقيت المحلي عن إطلاق خدمة جديدة كليًا اختيارية الانضمام للكشف عن الثغرات تُدعى OSS Scanner. يهدف هذا المشروع إلى الاستفادة من أقوى نماذج الذكاء الاصطناعي لدى Anthropic (بما في ذلك Claude Mythos) لتقديم مسح أمني دوري مجاني وشامل للبرمجيات مفتوحة المصدر حول العالم.
وبخصوص التقديم للانضمام، يكفي أن يرسل المشرفون الأساسيون المؤهلون على المشاريع مفتوحة المصدر الأساسية طلب دمج (PR) وفق قالب المشروع القياسي إلى مستودع OSS Scanner على GitHub لإكمال الطلب. وتشبه معايير المراجعة العامة معايير OSS-Fuzz من جوجل، وتستهدف بشكل رئيسي المشاريع مفتوحة المصدر الجوهرية ذات التأثير الكبير على البنية التحتية الحرجة وسلامة المستخدمين.
استعراضًا لجهود الاستكشاف التقني السابقة، قامت Anthropic خلال الأشهر الستة الماضية بمسح الثغرات الأمنية في العديد من مشاريع البرمجيات الأساسية حول العالم باستخدام أحدث نماذجها، واكتشفت إجمالي أكثر من 2.9万 من الثغرات المحتملة. ومع ذلك، ونظرًا لمحدودية القوى البشرية المتاحة، لا يمكن حاليًا سوى إكمال المراجعة اليدوية وتصنيف ما يقارب 6,000 ثغرة من بينها.
أما آلية الإفصاح عن الثغرات، فقد أكدت Anthropic أنها ستواصل الاعتماد على عملية الإفصاح المنسق عن الثغرات (CVD) القائمة عبر تقديم تقارير الثغرات المُحقَّق يدويًا؛ كما فتحت أيضًا "مسارًا سريعًا" اختياريًا للفرق الراغبة في الحصول على التفاصيل فور إنتاج تقرير الثغرة.
وتشير المقدمة الرسمية إلى أن نتائج مسح OSS Scanner تُولَّد بالكامل آليًا بواسطة النماذج اللغوية الكبيرة، ولا تتضمن أي عملية مراجعة يدوية أو فرز وتصنيف. وخلال الأسابيع الماضية، أكملت Anthropic التحقق الميداني من عملية الكشف الآلية هذه في عشرات المشاريع مفتوحة المصدر.
وللتحقق من النسخة المبكرة من هذا الفاحص، كلّفت Anthropic خبير اختبار اختراق مخضرساً مسؤولاً عن تدقيق CVD بإعادة المراجعة اليدوية للـ97 ثغرة من الفئتين الحرجة والعالية الخطورة التي رصدها الفاحص في 48 مشروعاً. وأظهرت النتائج أن 85 منها (بنسبة 88%) بلغت مستوى المعايير اللازمة للدخول في عملية إفصاح CVD؛ أما فيما تبقى من 12 بنداً مرصوداً، فكان 11 منها حقيقية لكنها عبارة عن عيوب معروفة أو متطابقة مع نتائج أخرى من هذا الفحص، ولم يُصنَّف سوى 1 فقط على أنه إنذار كاذب.
وذكرت Anthropic رسميًا أنه رغم استحالة ضمان كمال الماسح وخلوّه التام من الأخطاء، فإنها ستعمل لاحقًا على الاستفادة من ملاحظات المشرفين، ومع التطور المستمر للنماذج الأساسية، على المواصلة في صقل وتحسين منظومة الكشف بأكملها.