אנתרופיק סורקת קוד פתוח אבל משאירה את הסינון לכם

הסיוט של כל מתחזק קוד פתוח הוא לקבל תיבת דואר מפוצצת בדיווחי באגים חסרי תועלת שנוצרו על ידי בוטים. עכשיו, Anthropic מנסה לשנות את המשוואה עם השקת יוזמת Anthropic Cyber Mission מה־8 באוקטובר 2026. החברה הציגה את שירות OSS Scanner, שמציע סריקות אבטחה תקופתיות בחינם לפרויקטי קוד פתוח מובילים באמצעות Claude Mythos. הרעיון נשמע מבטיח, אבל מגיע עם מחיר: התוצאות נשלחות ישירות למפתחים ללא שום סינון אנושי מוקדם של מומחי אבטחה.

אם אתם מנהלים מאגר פופולרי, ההחלטה להצטרף תלויה ביכולת של הצוות שלכם להתמודד עם ממצאים גולמיים. באנתרופיק מסבירים שהסריקות נשלחות ללא תיווך ידני כדי להקדים תוקפים שמסוגלים לפתח מתקפות בתוך דקות. המשמעות היא שקצב הדיווחים יהיה מהיר, אבל חלקם יכלול דירוגי חומרה מנופחים או ניתוח שגוי של מודל האיומים שלכם. שוב מתברר שחינם זה עניין יחסי.

מנוע חזק בלי פילטר

השירות שואב השראה מפרויקט OSS-Fuzz של Google, אך מתבסס על מודלי שפה במקום כלי פאזינג בלבד. היתרון הגדול עבור מפתחים הוא העומק של כל פנייה: כל דו"ח מ־OSS Scanner כולל קוד שחזור מלא (PoC), הסבר על הכשל, ולעיתים הצעת תיקון במידה והמודל הצליח לייצר כזו. במקרים מסוימים המערכת מספקת גם ניתוח bisection כדי להצביע על הקומיט המדויק שבו נכנס הבאג לקוד.

הוויתור על עין אנושית הוא החלטה של אנתרופיק שנועדה לפתור את בעיית כוח האדם הפנימית שלה, ולא בהכרח להקל עליכם. חברות מסחריות משלמות על כלי הבדיקה במסגרת Claude Security. מנגד, קהילת הקוד הפתוח מקבלת את הסריקות בחינם, אך נאלצת לשמש כפילטר האימות בעצמה.

התוצרים של סורק פגיעויות זה, הפועל במודל הצטרפות מרצון, ייווצרו במלואם על ידי מודלים, ללא בדיקה או תעדוף אנושיים. הדבר יאפשר סריקה מהירה ותכופה יותר, אך פירושו שייתכן כי דוחות יהיו שגויים או לא תקפים.הדוקומנטציה של Anthropic Research

המספרים מאחורי הפיילוט

ההחלטה להעביר את השרביט למתחזקים נולדה מתוך צוואר בקבוק חריף. במהלך Project Glasswing, החברה סרקה מאות ספריות תוכנה וחשפה מעל 29,000 פגיעויות פוטנציאליות. אולם, צוותי הבדיקה האנושיים של אנתרופיק הצליחו לאמת ולתעדף רק כ־6,000 מתוכן. הפער הוביל מתחזקים לבקש גישה לכל הממצאים הלא מאומתים, והחברה כבר שלחה קרוב ל־5,000 דו"חות ישירות לפרויקטים שדרשו זאת במפורש.

בדיקת מדגם שערכו מומחי בדיקות חדירה של החברה על 97 חולשות ברמת חומרה קריטית וגבוהה מתוך הסורק, ב־48 פרויקטים, מציגה תמונה מעודדת אך מורכבת. 85 מתוכן (88%) עמדו ברף המחמיר של תוכנית החשיפה המתואמת. מתוך 12 המקרים הנותרים, 11 היו כפילויות של בעיות מוכרות או דיווחים כפולים מאותה סריקה, ורק מקרה בודד אחד היה התרעת שווא מוחלטת. לפי החברה, הצפי הוא לשיעור זיהוי אמיתי של מעל 90% בהמשך.

משובים ממתחזקים ותיקים מצביעים על איכות טכנית גבוהה, לצד צורך בזהירות. אנטון אראפוב מ־OpenSSL ציין כי הדוחות הגולמיים טובים לעיתים מאלה שמגיעים מבני אדם, במיוחד כשהם מלווים בקוד ניצול מעשי. ב־wolfSSL דיווחו כי מתוך 74 דו"חות שהתקבלו, כולם למעט שניים היו תקפים וחמישה הפכו למספרי CVE רשמיים. נואה מיש מ־PostgreSQL ציין שחלק ניכר מהממצאים חשפו פגמים אמיתיים שאפשרו תיקון לפני גרסה רשמית. יחד עם זאת, מתחזקים העירו לחברה כי הסורק נוטה לנפח דרגות חומרה ולא תמיד מבין את גבולות האבטחה הספציפיים של התוכנה.

לא הייתי ממהר להירשם בלי גב של צוות רחב שיכול לתחזק את הסינון הזה.

מסלול מהיר מול אימות ידני

אנתרופיק מייעדת את הסורק המהיר לפרויקטים שמסוגלים לעמוד בקצב הממצאים, בעוד עבור כל השאר היא תמשיך לפרסם דיווחים ידניים מאומתים במסלול ה־CVD הרגיל. החברה לא סוגרת את מסלול ה־CVD המסורתי, שבו חוקרי אבטחה בודקים כל באג ידנית לפני העברתו למפתחים. המסלול הידני מיועד לפרויקטים דלי משאבים שאינם יכולים להרשות לעצמם בדיקת כפילויות או דיווחי שווא.

ההרשמה לשירות המהיר מתאימה בעיקר לספריות שנהנות מחסות ארגונית או מקהילת תורמים גדולה שיכולה לקלוט זרם מתמיד של דיווחים. עבור פרויקטים קטנים, כל התרעה מנופחת עלולה לעצור את עבודת הפיתוח השוטפת ולגרום לחרדת שווא.

זה שווה רק אם יש לכם מי שיבדוק.

איך מצטרפים ומה המגבלות

ההצטרפות אינה פתוחה לכל ריפו ב־GitHub. אנתרופיק מיישמת תנאי קבלה קפדניים הדומים לאלה של OSS-Fuzz: הפרויקט חייב להיות בעל השפעה קריטית על תשתיות ואבטחת משתמשים, עם עדיפות לספריות שמעבדות קלט לא מהימן וחשופות למתקפות מרחוק. תהליך הרישום מתבצע על ידי שליחת Pull Request למאגר של anthropics/oss-scanner, הכולל קובץ הגדרות project.yaml וקובץ Dockerfile שמאפשר להריץ את בדיקות הפרויקט בסביבה מבודדת לחלוטין וללא חיבור לאינטרנט.

כדי לצמצם את כמות הרעש, המתחזקים יכולים להוסיף קובץ threat_model.md. הקובץ מאפשר להגדיר למודל אילו רכיבים נמצאים מחוץ לטווח הבדיקה, מה נחשב לאיום ממשי, וכיצד לתעדף את חומרת הבעיות. יש גם אפשרות לספק מפתח PGP להצפנת הדו"חות במייל.

אנתרופיק מציעה למתחזקים העומדים בקריטריונים גם גישה לתוכנית Claude for Open Source לקבלת מנויי Max בחינם כדי לסייע בכתיבת התיקונים. ההרשמה דורשת מעט עבודת תשתית בקונפיגורציה, אבל המבחן האמיתי יתחיל כשהמיילים הראשונים מהמודל ינחתו בתיבה שלכם. בהצלחה עם ה־inbox.