أطلقت Anthropic OSS Scanner، وهو ماسح ثغرات مجاني اختياري للمشاريع مفتوحة المصدر الحرجة. يقوم Anthropic OSS Scanner بتشغيل أقوى نماذج الشركة، بما في ذلك Claude Mythos، على قواعد الأكواد المسجلة. تذهب التقارير مباشرة إلى المشرفين دون مراجعة بشرية. تمنح هذه المقايضة نتائج أسرع، لكنها تنقل عبء الفرز إلى فرق المشاريع. بعد 11 يومًا من إطلاق 8 أكتوبر، أعلنت Anthropic عن 77 نتيجة مصنفة من النموذج كحرجة و803 كعالية.
TL;DR
- النطاق: تم قبول 114 مشروعًا من حوالي 650 طلبًا، حتى 19 أكتوبر.
- يعمل على: بنية Anthropic التحتية، مجانًا. يوفر المشرفون ملف Dockerfile؛ وتُجرى عمليات التدقيق في آلة افتراضية معزولة بلا إنترنت.
- الأداء: 85 من أصل 97 نتيجة حرجة وعالية تم تدقيقها (88%) استوفت معيار الإفصاح لدى Anthropic.
- الأفضل: لم تكن سوى 1 من أصل 97 نتيجة مدققة إيجابية كاذبة. تقول wolfSSL إن 72 من أصل 74 تقريرًا كانت صحيحة.
- الأسوأ: لا توجد مراجعة بشرية قبل التسليم. 11 من أصل 97 نتيجة مدققة كانت مكررة لمشكلات معروفة؛ ويبلغ المشرفون عن تضخم في تصنيف الخطورة.
ما هو Anthropic OSS Scanner؟
OSS Scanner هو تطبيق مجاني من Anthropic يُدقق دوريًا مستودعات مفتوحة المصدر بأقوى نماذجها. يشغّله فريق Frontier Red Team وفريق Safeguards Research معًا. يستعير التصميم من Google’s OSS-Fuzz، لكنه يستبدل أدوات التشويش (fuzzers) بنماذج اللغة.
الهدف الرئيسي هو معالجة اختناق المراجعة. على مدى 6 أشهر، كشفت نماذج Anthropic عن أكثر من 29,000 ثغرة محتملة. قام المراجعون البشريون بفرز حوالي 6,000 منها. وذهب نحو 5,000 تقرير إضافي مباشرة إلى مشرفين طلبوا كل شيء، صحيحًا كان أم لا. يحوّل OSS Scanner ذلك الطلب العارض إلى برنامج اختياري.
كيف يعمل OSS Scanner؟
يسجّل المشرفون الأساسيون عبر فتح طلب سحب (pull request) على anthropics/oss-scanner. يضيف الطلب المدمج projects/<project>/project.yaml، استنادًا إلى قالب المشروع.
- الحقول المطلوبة:
repo,primary_contact، ومسار ملف Dockerfile. - الحقول الاختيارية:
threat_model,pgpللتقارير المشفّرة،auto_ccs,homepage، وdisabled.
يبني ملف Dockerfile المشروع مع تمكين الوصول إلى الشبكة. ثم تنتقل الآلة الافتراضية إلى شبكة بلا إنترنت من أجل التدقيق. ويتحقق الوكلاء في خط الأنابيب من الأخطاء مرة أخرى، ويجرون تحليل السبب الجذري ويقترحون ترقيعات.
يحتوي كل تقرير على مُعيد إنتاج مستقل ذاتيًا وشرح للخطأ. وعند الإمكان، يتضمن تقطيعًا ثنائيًا (bisection) حتى الإيداع (commit) الذي أدخله. ويُرفق ترقيع مرشّح عند توفّره.
ويعرّف ملف اختياري threat_model.md المدخلات العدائية والشِفرة الخارجة عن النطاق ومقياسًا لمستويات الخطورة. ومن دونه، يخمّن الماسح.
ما مدى دقة تقارير OSS Scanner؟
طلبت فريق Anthropic من مختبِري الاختراق لديه فحص 97 نتيجة حرجة وعالية الخطورة عبر 48 مشروعًا.
- 85 (88%) استوفت شروط عملية الإفصاح المنسّق عن الثغرات (CVD) الخاصة بـ Anthropic.
- 11 كانت حقيقية لكنها مكرّرة لمشكلات معروفة أو لنتائج فحص أخرى.
- 1 كانت غير صالحة.
وتتجه بيانات المشرفين في الاتجاه نفسه. تلقّى wolfSSL 74 تقريرًا، وكلها صالحة باستثناء 2، وأصبح منها 5 ثغرات CVE. رقّعت curl CVE-2026-92392، وهي ثغرة استخدام بعد التحرير (use-after-free) عالية الخطورة في تحميل HTTP/2. تؤثر على الإصدارات من curl 8.12.0 إلى 8.22.0 وتم إصلاحها في الإصدار 8.23.0، الصادر في 14 أكتوبر 2026.
تربط Anthropic هذا التوقيت بالتقدم في المعايير المرجعية. على CyberGym، انتقلت النماذج اللغوية الكبيرة من العثور على أقل من 20% من الثغرات إلى أكثر من 85%. وتُدرج لوحة CVD dashboard الأوسع نطاقًا 6,157 ثغرة معلَنة عبر 591 مشروعًا، حتى 2 أكتوبر. ومنها 516 ثغرة تم ترقيعها.
OSS Scanner مقابل برامج الأمان مفتوحة المصدر الأخرى
| الميزة | Anthropic OSS Scanner | Google OSS-Fuzz | OpenAI Codex للمصادر المفتوحة (OSS) | Google DeepMind CodeMender |
|---|---|---|---|---|
| المنهجية | وكلاء LLM (بما فيهم Claude Mythos وغيرهم) يدققون الشيفرة المصدرية | الاختبار العشوائي (Fuzzing): libFuzzer وAFL++ وHonggfuzz مع أدوات التنظيف (sanitizers) | وكيل Codex Security، يُشغّله صيانة معتمدون | وكيل Gemini Deep Think يكتشف الأخطاء ويصلحها |
| التكلفة على الصيانة | مجاني؛ تغطي Anthropic التكلفة كاملة | مجاني | يحصل الصيانة المعتمدون على ChatGPT Pro وأرصدة API ووصول مشروط إلى Codex Security | غير معلن |
| التسجيل | طلب سحب (PR) يتضمن ملف project.yaml وDockerfile | طلب سحب (PR) بملفات المشروع إلى google/oss-fuzz | طلب تقديم، تتم مراجعته من OpenAI | غير معلن (مشروع بحثي) |
| مراجعة بشرية قبل أن يطّلع عليها الصيانة | لا | غير معلن | يُشغّل الصيانة عمليات الفحص ويراجعها | نعم، كل رقعة قبل الدمج في المصدر الرئيسي |
| محتوى التقرير | مُعيد إنتاج الخطأ، شرح، تحديد ثنائي (bisection)، رقعة مقترحة | تقارير أعطال مع مُعيدات إنتاج | نتائج مع تحقق ورقعات | تُرسل الرقعات إلى المصدر الرئيسي |
| الموعد النهائي للإفصاح | لا يوجد للنتائج غير المتحقق منها | 90 يومًا أو صدور الإصلاح، مع مهلة سماح 14 يومًا | غير معلن | غير معلن |
| سجل إنجازات منشور | 77 نتيجة حرجة + 803 نتيجة بتصنيف عالٍ من النموذج خلال 11 يومًا | أكثر من 13,000 ثغرة، 50,000 خطأ، 1,000 مشروع (مايو 2025) | 14 CVE في مشاريع OSS | 72 إصلاحًا أمنيًا تمت مشاركتها مع المصدر الأصلي (أكتوبر 2025) |
| بيانات الدقة | 88% من 97 نتيجة حرجة/عالية المدققة كانت صحيحة | غير مُفصح عنه | انخفاض الإنذارات الكاذبة بنسبة تزيد على 50% في الإصدار التجريبي | غير مُفصح عنه |
المصادر: إرشادات الإفصاح الخاصة بـ OSS-Fuzz, أمن OpenAI Codex, DeepMind CodeMender.
الاستنتاجات الرئيسية
- يوفر OSS Scanner عمليات تدقيق مجانية بواسطة Claude Mythos للمشاريع مفتوحة المصدر الحرجة.
- تُتخطى التقارير المراجعة البشرية؛ وكانت 88% من 97 نتيجة حرجة/عالية مدققة صحيحة.
- في أول 11 يومًا: 77 نتيجة حرجة و803 نتائج بتصنيف عالٍ من النموذج.
- التسجيل يكون عبر طلب سحب (PR) يحتوي على Dockerfile؛ وتجري عمليات التدقيق دون اتصال بالإنترنت.
- لا ينطبق مهلة 90 يومًا على النتائج غير الموثقة.
اطلع على منشور الإطلاق, و الأسئلة الشائعة حول OSS Scanner ومستودع GitHub. كما يمكنكم متابعتنا على تويتر ولا تنسوا الانضمام إلى مجتمع SubReddit الخاص بـ ML الذي يضم أكثر من 150k عضو واشترك في نشرتنا البريدية. انتظر! هل أنت على تيليجرام؟ يمكنك الآن الانضمام إلينا على تيليجرام أيضًا.
هل تحتاج إلى الشراكة معنا للترويج لمستودع GitHub الخاص بك أو صفحة Hugging Face أو إصدار منتج أو ندوة عبر الإنترنت وغير ذلك؟ تواصل معنا
المنشور Anthropic تطلق OSS Scanner، ماسح ثغرات بالذكاء الاصطناعي مجانيًا ظهر لأول مرة على MarkTechPost.