Anthropic, kritik açık kaynak projelere ücretsiz güvenlik taraması sunan OSS Scanner'ı başlattı

Anthropic'in Frontier Red Team ekibi, açık kaynak projeler için OSS Scanner adlı ücretsiz bir güvenlik açığı tarama hizmeti başlattı. Anthropic'in duyurusuna göre hizmet, kayıt olan projeleri şirketin en güçlü modelleriyle (Claude Mythos dahil) düzenli aralıklarla tarıyor ve bulguları doğrudan proje bakımcılarına gönderiyor. Hizmet 8 Ekim'de açıldı; Anthropic'in geliştirici hesabı @ClaudeDevs 20 Ekim'de hizmeti yeniden duyurdu.

OSS Scanner nedir

OSS Scanner, Google'ın açık kaynak projelerde sürekli hata arayan OSS-Fuzz hizmetinden esinlenen, isteğe bağlı bir tarayıcı. Proje kayıt olduktan sonra Anthropic projeyi tarıyor, ardından yeni açıkları ve önceki taramalarda gözden kaçanları bulmak için taramayı belli aralıklarla tekrarlıyor. Hizmetin sayfasına göre tarama sıklığı sıradaki proje sayısına, projenin ne kadar yaygın kullanıldığına ve başka etkenlere bağlı. Taramalar internet erişimi tamamen kapalı, yalıtılmış ortamlarda yapılıyor.

Bakımcılara her tarama sonunda e-postayla bir rapor paketi gidiyor. Duyuruya göre her raporda açığı kendi başına yeniden üreten bir örnek (reproducer), açıklama ve mümkün olduğunda hatanın hangi değişiklikle geldiğini gösteren inceleme, varsa da bir yama önerisi bulunuyor. Anthropic, raporların tamamen modeller tarafından üretildiğini ve insan incelemesinden geçmeden gönderildiğini, bu yüzden bir kısmının hatalı ya da geçersiz olabileceğini açıkça belirtiyor.

Neden başlatıldı

Anthropic'e göre son altı ayda modelleri 29 binden fazla aday açık buldu, ama şirket bunların ancak yaklaşık 6 binini elle inceleyip ayıklayabildi. Bakımcıların doğrulanmamış raporları da toplu almak istemesi üzerine şirket, raporları bulunur bulunmaz isteyen projeler için bu hızlı yolu açtı. İnsan tarafından doğrulanan raporlar ise Anthropic'in mevcut koordineli açık bildirme süreciyle, özellikle raporları kendisi ayıklayacak kaynağı olmayan projeler için gönderilmeye devam edecek.

Duyuruda bir pilot çalışmanın sonuçları da paylaşılıyor: 48 projede incelenen 97 kritik ve yüksek önemli bulgunun 85'i Anthropic'in bildirim eşiğini geçmiş, geri kalanların 11'i gerçek ama zaten bilinen açıklar çıkmış, yalnız biri yanlış alarm olmuş. Sayfada PostgreSQL, OpenSSL, curl ve wolfSSL gibi projelerin bakımcılarından görüşler de yer alıyor.

Kimler katılabilir, nasıl

Hizmet, altyapı ve kullanıcı güvenliği açısından kritik, yerleşik projelere açık; ölçütler OSS-Fuzz'a benziyor ve her proje ayrı değerlendiriliyor. Projenin yaşı, güncellenme sıklığı, kaç kişi ve projenin ona bağlı olduğu, OpenSSF kritiklik puanı ve lisansı gibi etkenlere bakılıyor. Yeni projeler ve çatallamaların (fork) çoğu genellikle kabul edilmiyor. Anthropic, hizmetin yüksek ve kritik önemdeki raporlara yetişebilen projeler için olduğunu belirtiyor.

Kayıt için Anthropic'in GitHub'daki oss-scanner deposuna, projenin adresi, sorumlu kişisi ve derleme ortamını kuran bir Dockerfile içeren bir dosya ekleyen değişiklik isteği (pull request) açılıyor. Her başvuruyu bir insan inceliyor; başvuranın projenin asıl bakımcısı olduğu ve güvenlik iletişim adresinin projenin SECURITY.md dosyasında yazdığı kontrol ediliyor. Hizmet ücretsiz.

Açıklama kuralları

Anthropic, doğrulanmamış bu bulgulara 90 günlük koordineli açıklama süresi uygulamayacağını belirtiyor. Bir bulgu sonradan insan tarafından doğrulanırsa, bakımcıya doğrulamanın bildirildiği günden 90 gün sonra kamuya açıklanabiliyor. Hizmet şartlarında raporların yalnızca açıkları bulmak ve düzeltmek için kullanılabileceği, yalnızca yetkili bakımcılarla paylaşılabileceği ve düzeltilene kadar gizli tutulması gerektiği yazıyor.

Haberdeki bilgiler Anthropic'in duyurusuna ve hizmet sayfasına dayanıyor; pilot sonuçları şirketin kendi değerlendirmesi. Hizmet şartlarına göre raporlar eksik ya da yanlış olabiliyor, önerilen yamalar projenin işleyişini bozabiliyor ve sorumluluk raporu inceleyen bakımcıda kalıyor. Yapay zekanın bulduğu açıkların sayısı hızla artarken, gönüllü bakımcıların bu raporları ayıklayıp düzeltecek zamanı olup olmadığı asıl soru olacak. Gelişmeleri farklı açılardan görmek için bağımsız güvenlik araştırmacılarının ve açık kaynak bakımcılarının değerlendirmelerini de takip edin.