בקצרה: אנתרופיק השיקה ב-8 באוקטובר 2026 את OSS Scanner. מתחזקים של פרויקטי קוד פתוח עם תפקיד קריטי בתשתיות או באבטחה יכולים להגיש בקשה לסריקות חולשות חינמיות ותקופתיות. הדוחות נכתבים על ידי מודלים, בלי בדיקה אנושית, ולכן חלקם יהיו שגויים.
OSS Scanner הוא שירות שמצטרפים אליו מרצון. פרויקטים שנרשמו מקבלים סריקות אבטחה עמוקות וחוזרות, שמריצים המודלים החזקים של אנתרופיק, כולל Claude Mythos. השירות נשען על מה שאנתרופיק למדה ב-Project Glasswing, המיזם שלה למציאת חולשות בעזרת Claude.
כל דוח כולל קוד שמשחזר את הבעיה, הסבר על הבאג, ותיקון מוצע כשיש כזה. כשאפשר, מצוין גם מתי הבאג נכנס לקוד.
במשך חצי שנה המודלים מצאו יותר מ-29,000 חולשות אפשריות, וכ-6,000 מהן נבדקו ידנית. בבדיקה של בודקי חדירות מומחים, 85 מתוך 97 ממצאים ברמת חומרה קריטית וגבוהה (88%) עמדו בסף של אנתרופיק לחשיפה אחראית. מבין 12 האחרים, אחד עשר היו אמיתיים אבל כפולים, ואחד היה התראת שווא. המתחזקים של wolfSSL דיווחו ש-72 מתוך 74 דוחות היו תקינים, וחמישה הפכו ל-CVE.
הדוחות של OSS Scanner נוצרים על ידי המודל ואנשים לא עוברים עליהם. חלק מהמתחזקים אמרו שדירוגי החומרה לפעמים מנופחים, ושהסורק לא תמיד הבין את מודל האיומים של הפרויקט. אנתרופיק אומרת שתמשיך לשפר את המערכת, ולא מבטיחה תוצאות מושלמות.
אם אתם מתחזקים פרויקט שעומד בקריטריונים, כדאי לבדוק את המאגר ואת השאלות הנפוצות ב-red.anthropic.com/oss-scanner. אם אתם בונים על חבילות קוד פתוח, צפויים עוד דיווחים ותיקונים בפרויקטים שאתם תלויים בהם. אנתרופיק מציינת גם תוכנית נפרדת, Claude for OSS, שנותנת למתחזקים מנוי Claude Max 20x חינם כדי לעזור לתקן את מה שנמצא.
מקור: Anthropic, "An opt-in vulnerability-finding service for open-source software"