Michael JohnsonAnthropic käynnisti 8. lokakuuta 2026 OSS Scannerin, maksuttoman palvelun, joka etsii säännöllisesti haavoittuvuuksia mukaan liitetyistä avoimen lähdekoodin projekteista ja lähettää löydökset niiden ylläpitäjille. Liittymisen keskeinen ehto on, että tiimi on valmis tutkimaan itse raportit, jotka mallit lähettävät ilman ihmisen tekemää ennakkotarkistusta.
Palvelu on tarkoitettu projekteille, jotka ylläpitäjät liittävät ohjelmaan vapaaehtoisesti. OSS Scannerin julkaisukuvauksen mukaan raportti voi sisältää toistettavan esimerkin, selityksen ongelmasta ja ehdotetun korjaustiedoston, jos sellainen on saatavilla. Anthropic kertoo skannauksen olevan maksutonta; yhtiön mukaan uusintatarkistusten tiheys voi riippua jonon pituudesta ja projektin suosiosta.
Nopea kanava edellyttää omatoimista tarkistamista
Anthropic erottaa kaksi toimintatapaa. Tavanomaisessa koordinoidussa haavoittuvuuksien ilmoitusprosessissa asiantuntijat tarkistavat ilmoitukset ennen niiden lähettämistä ylläpitäjille. OSS Scanner tarjoaa rinnalle nopean kanavan: raportit tulevat suoraan malleilta ilman ihmisen tekemää ennakkotarkistusta tai lajittelua.
Liittyäkseen projektiin sen pääasiallinen ylläpitäjä avaa pull requestin OSS Scanner -tietovarastoon ja lisää projektin määritykset. Niissä ilmoitetaan tietovarasto, yhteystieto ja Dockerfile, joka valmistelee auditointiympäristön. OSS Scannerin dokumentaation mukaan skannausagentit toimivat ympäristön rakentamisen jälkeen ilman internetyhteyttä; ylläpitäjät voivat lisätä myös uhkamallin ja PGP-avaimen raporttien salaamista varten.
Anthropic keskittyy projekteihin, joilla on merkittävä vaikutus infrastruktuuriin ja käyttäjien turvallisuuteen, ja arvioi hakemukset tapauskohtaisesti. Arviointiperusteissa mainitaan esimerkiksi epäluotettavan datan käsittely ja riippuvaisten projektien määrä. Yhtiö tarkistaa myös, että hakemuksen on jättänyt projektin pääasiallinen ylläpitäjä.
Mitä julkaistut tulokset kertovat
Anthropicin mukaan sen mallit ovat löytäneet viimeisten kuuden kuukauden aikana yli 29 000 mahdollista haavoittuvuutta merkittävistä projekteista, ja asiantuntijat ovat tarkastelleet niistä käsin noin 6 000. Skannerin varhaisen version erillisessä arvioinnissa ulkopuoliset testaajat arvioivat 97 vakavaa tai kriittistä löydöstä 48 projektissa: 85 täytti yhtiön haavoittuvuuksien ilmoitusprosessin kriteerit. Jäljelle jääneistä 12 löydöksestä yksi oli väärä hälytys; 11 kuvasi todellisia ongelmia, jotka olivat kuitenkin päällekkäisiä tai jo ennestään tunnettuja.
Nämä luvut koskevat Anthropicin otosta ja arviointimenettelyä: julkaistu tarkistus kattoi 97 valittua löydöstä, ei kaikkia projektityyppejä eikä kaikkia palvelun raportteja. Yhtiö kertoo myös, että joidenkin ylläpitäjien mielestä vakavuusarviot olivat liioiteltuja tai että mallit ymmärsivät projektin uhkat väärin. Raporttia käsiteltäessä toistettava esimerkki ja korjaustiedosto kannattaa verrata koodiin ja uhkamalliin sen sijaan, että luottaisi pelkästään ilmoitettuun vakavuusluokkaan.
Käytännön toimintaohje ylläpitäjille
Ennen hakemuksen jättämistä kannattaa arvioida, riittääkö tiimin aika ylimääräisten haavoittuvuusilmoitusten käsittelyyn. OSS Scannerin osallistumisohjeissa todetaan, että palvelu on tarkoitettu projekteille, jotka pystyvät käsittelemään tällaisen ilmoitusvirran; projektin voi asettaa tauolle tai poistaa käytöstä määritysten kautta.
- Kuvaa uhkamallitiedostossa tarkistuksen rajat, ensisijaiset ongelmaluokat ja projektissa käytetty vakavuusasteikko.
- Tarkista toistettava esimerkki eristetyssä ympäristössä ja vertaa sen jälkeen haavoittuvaa koodia ja ehdotettua korjausta projektin nykyiseen versioon.
- Tarkista erikseen päällekkäiset ilmoitukset, vaikutusarvio ja se, onko ongelma todella mahdollinen projektin uhkamallissa.
- Sovi raporttien käsittelystä ja suojatusta toimittamisesta vastaavat henkilöt: dokumentaatiossa mainitaan sähköpostitse lähettäminen ja PGP-avaimelle varattu kenttä.
Tarkistamattomille ilmoituksille Anthropic ei aseta 90 päivän koordinoidun julkistamisen määräaikaa. Jos yhtiö vahvistaa löydöksen myöhemmin käsin, vakiomuotoisen julkistusprosessin määräaika alkaa tällaisesta tarkistuksesta ilmoittamisesta, kuten OSS Scannerin julkistamiskäytännössä täsmennetään. Tiimien kannattaa sopia viestintätavoista etukäteen, jotta ilmoitukset voidaan käsitellä nopeasti ja korjauksen tekemistä koordinoida.
OSS Scanner laajentaa automaattisen haavoittuvuuksien etsinnän saatavuutta tiimeille, jotka ovat valmiita tarkistamaan tulokset ja viemään korjaukset julkaisuun asti. Rajallisin resurssein toimiville ylläpitäjille Anthropic tarjoaa edelleen tavanomaisen, asiantuntijoiden tarkistukseen perustuvan ilmoitusprosessin; valmiit tiimit voivat ottaa käyttöön täydentävän kanavan ja saada mallien raportteja odottamatta tällaista tarkistusta.