Anthropicは10月8日、オープンソースソフトウェアのプロジェクトを対象に、脆弱性を無料で継続的にスキャンする新サービス「OSS Scanner」の登録受付を開始した。Claude Mythosをはじめとする同社の最上位モデルを使い、オプトインで参加したプロジェクトに対して定期的なセキュリティ診断を行う。先日発表した包括的な取り組み「Anthropic Cyber Mission」の下で投入される、最初の具体的な製品という位置づけだ。
参加を希望するメンテナーは、GitHub上の「anthropics/oss-scanner」リポジトリに対し、プロジェクトの設定ファイルとDockerfileを添えたプルリクエストを送る形で登録する。採用基準はGoogleの「OSS-Fuzz」に近く、インフラやユーザーの安全性への影響が大きい実績のあるプロジェクトを個別に判断して選定するとしている。スキャン自体は、まず依存関係を取得するためインターネット接続のある環境でプロジェクトをビルドし、その後インターネットから切り離した環境に移して実施する2段階の仕組みを採っている。
大きな特徴は、診断レポートが人間による査読を経ずに、モデルの出力をそのままメンテナーへ送る点だ。これにより高頻度・高速なスキャンが可能になる一方、Anthropic自身も一部の報告が誤りや無効である可能性を認めている。実際、事前のパイロット運用では、侵入テスト担当者が48件のプロジェクトにわたる重大・高深刻度の指摘97件を査読した結果、85件が開示に値すると判断され、11件が重複、1件が無効だったという。レポートは一般公開はされず、各プロジェクトのメンテナーにのみ伝えられる。既存の協調的脆弱性開示プログラムとは別の枠組みとして運用される。
出典: The Hacker News
