OSS Scanner: خدمة Anthropic لاكتشاف الثغرات الأمنية في المصادر المفتوحة

OSS Scanner: خدمة Anthropic لاكتشاف الثغرات الأمنية في المصادر المفتوحة

في 8 أكتوبر، أطلقت Anthropic خدمة OSS Scanner، وهي خدمة تفحص مشاريع المصادر المفتوحة بحثًا عن الثغرات الأمنية باستخدام أقوى نماذج الشركة. ووفقًا لـ Anthropic، تستند الخدمة إلى خبرتها في استخدام Claude لاكتشاف الثغرات الأمنية أثناء مشروع Glasswing.

كانت Anthropic قد فحصت برامج مفتوحة المصدر من قبل وأرسلت تقارير عبر عملية الإفصاح المنسق عن الثغرات (CVD)، لكن فقط بعد مراجعة بشرية. وبحلول أكتوبر 2026، كانت قد راجعت أكثر من 6,000 تقرير من هذا القبيل. تستغرق المراجعة اليدوية وقتًا، لذا وصلت النتائج إلى المشرفين بتأخير. تتخطى OSS Scanner هذه الخطوة: تتلقى المشاريع المسجلة تقارير بمجرد اكتمال الفحص.

الخدمة مجانية للانضمام. للتسجيل، يرسل المشروع طلب سحب إلى مستودع anthropics/oss-scanner يضيف ملف project.yaml بالحقول التالية: • repo — رابط إلى مستودع المشروع؛ • primary_contact — عنوان البريد الإلكتروني الذي يتلقى التقارير؛ • dockerfile — المسار إلى Dockerfile يبني البيئة مع جميع التبعيات المطلوبة. يتم تشغيل البناء مع الوصول إلى الشبكة، بينما يحلل الوكلاء الشيفرة في بيئات معزولة بدون وصول إلى الإنترنت. يمكن للمشرفين أيضًا إرفاق نموذج تهديد يحدد ما يجب اختباره، وأي المدخلات يجب التعامل معها كعدائية، وكيفية تصنيف خطورة النتائج.

تتضمن خط الأنابيب وكلاء يتحققون من الأخطاء مرة أخرى، ويقترحون تصحيحات، ويجرون تحليل السبب الجذري. كما تتحقق من أن كل ثغرة موجودة في المشروع نفسه وليس في تبعياته. بعد الفحص الأولي، تتم إعادة فحص المشاريع دوريًا بحثًا عن الثغرات المُدخلة حديثًا وتلك التي فاتت سابقًا.

نظرًا لأن التقارير غير المتحقق منها قد تحتوي على إيجابيات كاذبة، لا تطبق Anthropic عليها مهلة إفصاح مدتها 90 يومًا ولا تنشرها. إذا تحقق شخص لاحقًا من نتيجة عبر عملية CVD القياسية، تبدأ الـ 90 يومًا من لحظة إخطار المشرف بالتحقق.

ليس كل مستودع مؤهلًا. المعايير مشابهة لمعايير OSS-Fuzz: عمر المشروع ونشاطه، ودرجة الأهمية الحرجة OpenSSF الخاصة به، وترخيص مفتوح المصدر، ومدى انتشار استخدامه. عادةً لا تكون المشاريع الجديدة ومعظم التفرعات مؤهلة. تعترف Anthropic أيضًا بأن العديد من المشاريع مثقلة بالفعل بحجم التقارير، لذا تستهدف الخدمة أولئك الذين يستطيعون مواكبة الثغرات عالية الخطورة والحرجة المتحقق منها.

ما يميزها عن منتج Claude Security التجاري هو أنه، بالنسبة للمصادر المفتوحة، تستخدم Anthropic بالإضافة إلى ذلك أدوات اختبار تجريبية وأكثر استهلاكًا للرموز لاكتشاف أخطاء أعمق.