Conform Go4IT: Anthropic lansează OSS Scanner, un serviciu gratuit pentru detectarea vulnerabilităților în codul open-source
Compania de inteligență artificială Anthropic a anunțat lansarea OSS Scanner, o platformă gratuită destinată identificării problemelor de securitate în proiectele software open-source. Proiectele care aleg să se înscrie voluntar vor primi periodic rapoarte detaliate privind potențialele vulnerabilități. Scanările vor fi realizate de cele mai avansate modele ale companiei, inclusiv Claude Mythos, iar rezultatele vor fi generate integral de inteligența artificială, fără intervenție umană sau filtrare prealabilă.
Avantajele și provocările scanărilor automate
Această abordare, bazată pe inteligență artificială, promite verificări mai rapide și mai frecvente ale codului. Totuși, Anthropic avertizează că unele rapoarte pot conține erori sau pot fi imprecise. Instrumentele AI au demonstrat deja capacitatea de a identifica vulnerabilități grave în software-ul open-source, dar, în același timp, comunitățile open-source se confruntă cu o creștere semnificativă a numărului de alerte generate automat.
Inspirație și beneficii reciproce
OSS Scanner se inspiră din OSS-Fuzz, un instrument similar creat de Google și OpenSSF (Open Source Security Foundation), disponibil din 2016. Anthropic oferă deja un serviciu comercial, Claude Security, pentru scanarea și remedierea codului. Cu toate acestea, OSS Scanner aduce audituri de securitate similare gratuit. Atât Google, cât și Anthropic depind de proiectele open-source, care stau la baza internetului și sunt adesea gestionate de voluntari. Vulnerabilitățile în aceste platforme pot avea consecințe grave, așa cum a demonstrat recent atacul de tip backdoor din XZ Utils, care ar fi putut oferi acces administrativ la milioane de sisteme.
Criterii de eligibilitate și utilizarea datelor
Serviciul nu este deschis tuturor proiectelor open-source. Anthropic a adoptat criteriile de eligibilitate ale Google pentru OS-FUZZ, vizând proiecte „consacrate care au un impact critic asupra infrastructurii și securității utilizatorilor”. Administratorii proiectelor eligibile pot opta ca „materialele” lor să fie utilizate pentru antrenarea modelelor AI, conform termenilor comerciali ai Anthropic. Majoritatea proiectelor open-source de anvergură fac deja parte din seturile de date utilizate pentru instruirea modelelor.
Evoluția preciziei rapoartelor AI
Potrivit Anthropic, precizia rapoartelor automate de erori generate de IA a crescut considerabil. La începutul anului 2025, modelele AI identificau peste 85% dintre vulnerabilități, o creștere semnificativă față de 20% la începutul anului. Compania anticipează că, în următorii doi ani, apărătorii vor avea un avantaj, IA permițând detectarea erorilor înainte ca software-ul să fie lansat.
Sursa: Go4IT
