Anthropic spustil OSS Scanner pre bezpečnostné kontroly open-source projektov
Anthropic predstavil bezplatnú opt-in službu OSS Scanner, ktorá má periodicky vyhľadávať zraniteľnosti vo vybraných open-source projektoch.
Spoločnosť Anthropic 8. októbra 2026 spustila Anthropic OSS Scanner, bezplatnú službu na periodické vyhľadávanie bezpečnostných zraniteľností vo vybraných open-source projektoch. Program funguje na princípe dobrovoľného prihlásenia a Anthropic bude o prijatí rozhodovať individuálne.
Služba je určená pre etablované projekty, ktoré majú kritický význam pre infraštruktúru alebo bezpečnosť používateľov. Nejde teda o automaticky dostupný skener pre každý verejný repozitár. Správcovia sa musia prihlásiť a overiť svoje oprávnenie projekt zastupovať.
Ako funguje Anthropic OSS Scanner
Po zapojení projektu má služba vykonávať pravidelné bezpečnostné skeny. Nálezy budú správcovi projektu odosielané vo forme hlásení vytvorených modelmi Anthropic. Podstatné je, že tieto výstupy pred doručením neprechádzajú ľudskou kontrolou ani triážou zo strany spoločnosti.
Hlásenie má obsahovať reprodukciu problému, vysvetlenie zraniteľnosti a podľa dostupnosti aj návrh opravy. Reprodukcia problému, často označovaná aj ako proof of concept, má správcom pomôcť overiť, či je nahlásený problém reálny a za akých podmienok sa dá využiť.
Anthropic uvádza, že neoverené automatické hlásenia nebude zverejňovať. Zapojené projekty zároveň môžu skenovanie pozastaviť alebo službu úplne opustiť.
Prínos aj pracovná záťaž pre správcov
Open-source komponenty tvoria základ veľkej časti bežne používanej digitálnej infraštruktúry. Ak hlásenie obsahuje použiteľnú reprodukciu problému a presný opis chyby, môže správcom skrátiť čas potrebný na identifikáciu problému a prípravu opravy.
Zvolený model však prenáša overovanie nálezov na tímy jednotlivých projektov. Keďže hlásenia nevalidujú ľudia, môže sa medzi nimi objaviť nesprávne vyhodnotený problém, nadhodnotená závažnosť alebo nález, ktorý nezodpovedá bezpečnostnému modelu konkrétneho projektu.
Anthropic očakáva mieru pravdivých nálezov vyššiu než 90 percent. Ide o odhad spoločnosti, ktorý zatiaľ nie je nezávisle overeným výsledkom prevádzky služby. Firma zároveň tvrdí, že počas pilotnej fázy našla stovky chýb vrátane reťaziteľných ciest k neautentifikovanému vzdialenému spusteniu kódu. Rozsah ani závažnosť týchto nálezov neboli nezávisle doložené pri jednotlivých projektoch.
Čo ukáže prevádzka služby
Pre praktické hodnotenie Anthropic OSS Scanneru budú dôležité najmä údaje o počte prijatých projektov, presnosti hlásení, podiele falošných pozitív a kvalite navrhnutých opráv. Relevantné budú aj potvrdenia od správcov projektov, napríklad vydané opravy, záznamy CVE alebo GitHub Security Advisories, ktoré budú s nálezmi služby spojené.
Otázkou zostáva aj budúci režim zverejňovania závažných zraniteľností. Anthropic zatiaľ deklaruje, že neoverené hlásenia nezverejní, no konkrétne pravidlá pre prípadné lehoty zverejnenia potvrdených kritických nálezov budú dôležité pre správcov aj používateľov dotknutého softvéru.
Zdroje
- Anthropic — Launching an opt-in vulnerability-finding service for open-source software – Potvrdzuje spustenie OSS Scanneru 8. októbra 2026, bezplatný opt-in model, neoverené modelové hlásenia a kritériá zapojenia.
- Anthropic — OSS Scanner – Dokladá proces prihlásenia, overovanie oprávnenia správcu, možnosť pozastavenia či odhlásenia a režim nakladania s hláseniami.
- Anthropic — Introducing the Anthropic Cyber Mission – Zaraďuje OSS Scanner do širšej iniciatívy Anthropic Cyber Mission a uvádza, že správy obsahujú proof of concept, vysvetlenie a prípadný návrh opravy.
- Axios — Exclusive: Anthropic's new plan to protect critical infrastructure – Nezávisle potvrdzuje, že Anthropic v rámci novej iniciatívy spustil bezplatnú AI službu OSS Scanner pre open-source softvér.
Overené a aktualizované: 09. 10. 2026 15:21
