Anthropic משיקה סורק אבטחה חינמי לפרויקטים פתוחים

סורק אוטומטי בלי אדם בלופ

Anthropic השיקה את OSS Scanner, שירות שמציע סריקות אבטחה תקופתיות בחינם לפרויקטי קוד פתוח שיבחרו להצטרף. הסריקות מבוצעות על ידי המודלים החזקים ביותר של החברה, כולל מודל בשם Mythos, והדוחות נוצרים במלואם על ידי המודל בלי ביקורת אנושית או תהליך טריאז'. המשמעות: תדירות ומהירות גבוהות יותר, אבל גם אפשרות ממשית לדיווחים שגויים או לא תקפים.

יתרון הגנתי מול רעש כוזב

לדברי החברה, המטרה היא לתת לפרויקטים פתוחים יתרון הגנתי גדול ככל האפשר. הוויתור על מעורבות אנושית מאפשר סריקות תכופות יותר ממה שצוות אבטחה מצומצם יכול לספק, אלא שהמחיר הוא רמת רעש לא ידועה, דוחות שיתבררו כ-false positives יצטרכו להיבדק ולהידחות על ידי המתחזקים עצמם, מה שמוסיף עומס על מי שכבר מתמודדים עם הצפה.

לא הראשון בשטח, אבל עם מודל חזק

כלי בינה מלאכותית לציד באגים כבר הוכיחו את עצמם בחודשים האחרונים. במאי התגלה באג "Copy Fail" שהשפיע כמעט על כל הפצת לינוקס (Linux distro) בזכות ניתוח אוטומטי, מה שהדגים את הפוטנציאל של גישה כזו. Anthropic מהמרת שהמודלים שלה, ובפרט Mythos, שעליו לא פורסמו מדדי ביצועים פומביים, יספקו כיסוי רחב יותר ודיוק גבוה יותר מהכלים הקיימים.

מתחזקים טובעים בדוחות אוטומטיים

במקביל, קהילת הקוד הפתוח מדווחת על קושי גובר לעמוד בשטף הדוחות שמגיעים מכלים אוטומטיים. לינוס טורבאלדס (Linus Torvalds) ו־Google צוינו כדוגמאות לגופים שמתמודדים עם מבול של דיווחים שנוצרו על ידי מודלים, שחלקם הגדול מתברר כלא רלוונטיים או כפולים. OSS Scanner עלול להחריף את הבעיה אם לא ילווה במנגנון סינון או דירוג אמינות.

מה חסר בתמונה

ההודעה לא מפרטת איך ייראו הדוחות בפועל, האם יכללו מיקום מדויק בקוד, הוכחת היתכנות (PoC) או הערכת חומרה (CVSS). גם לא ברור איך פרויקט יכול לסמן דוח כמטופל או לבקש סריקה חוזרת אחרי תיקון. בלי פרטים אלה, המתחזקים יצטרכו ללמוד את הכלי תוך כדי תנועה, ולהחליט אם התועלת עולה על העלות הניהולית.