Anthropic представила OSS Scanner 8 октября 2026 года: участвующие open-source-проекты получают периодические проверки безопасности сильнейшими моделями компании бесплатно. Главное ограничение заложено в самом формате: отчеты поступают без ручной проверки и могут оказаться ошибочными. Это ускоренный канал получения находок, а не замена экспертному аудиту. Анонс Anthropic.
Среди используемых моделей Anthropic называет Claude Mythos. Раннюю версию сканера эксперты проверили на 97 находках высокой и критической серьезности из 48 проектов: 85 соответствовали требованиям согласованного раскрытия компании, 11 были реальными, но дублировали известные проблемы или другие находки, одна оказалась ложной. Это результат отдельной проверки, а не гарантия точности будущих отчетов. Результаты Anthropic.
Кому доступен OSS Scanner
Участие добровольное, заявки рассматривают индивидуально. Приоритет у зрелых проектов, важных для инфраструктуры и безопасности пользователей. В оценке учитываются, в частности, распространенность, активность разработки, лицензия и значимость проекта для безопасности. Совсем новые проекты обычно не подходят; форкам нужна самостоятельная значимость. Это не обещание бесплатной проверки любого репозитория.
13 октября компания уточнила критерии участия и границы выдачи отчетов. Автоматическая проверка должна отделять код проекта от зависимостей. При этом полномочия заявителя и контакт безопасности проверяют вручную, а перед отправкой результатов повторно проверяют право получателя на доступ. Отсутствие ручной проверки относится к находкам, не ко всему процессу. FAQ OSS Scanner.
Что приходит в отчете
По описанию компании, отчет включает воспроизводящий пример и объяснение уязвимости. Если возможно, определяется изменение, внесшее ошибку; при наличии предлагается патч. Обычный процесс согласованного раскрытия Anthropic с человеческой проверкой продолжает работать отдельно. Ускоренный поток OSS Scanner не следует путать с ним. Компания также предупреждает о возможном завышении серьезности проблемы и неверном понимании модели угроз проекта. Описание отчетов и ограничений.
Для непроверенных находок нет обязательного 90-дневного срока раскрытия. Если отчет впоследствии подтвердят вручную в рамках процесса согласованного раскрытия (CVD), отсчет может начаться с уведомления сопровождающих об этом подтверждении. Отчеты доставляют по электронной почте; фиксированной периодичности повторных сканирований компания не обещает. Правила раскрытия и доставки.
Что подготовить сопровождающему проекта
Основные сопровождающие подают заявку через pull request в официальный репозиторий. Нужны конфигурация проекта, контакт и Dockerfile для подготовки среды. Модель угроз необязательна, но помогает задать границы проверки. Anthropic отдельно отмечает: сервис рассчитан на команды, уже справляющиеся с потоком проверенных серьезных находок. Условия и порядок подключения.
Как работать с находкой
Практический вывод редакции: сначала проверить затронутую версию и достижимость ошибки, воспроизвести эффект в изолированной тестовой среде, затем проверить патч и регрессионные тесты. Только после этого принимать решение о серьезности, исправлении и раскрытии. Это редакционная схема, а не результат нашего сканирования.
Бесплатная генерация отчета не отменяет стоимость его разбора для команды. Поэтому полезность такого канала стоит оценивать по подтвержденным и исправленным проблемам, а не по количеству полученных сообщений. Отсутствие находок тоже не доказывает отсутствие уязвимостей.
Материал основан на официальном анонсе и FAQ, проверенных 21 октября 2026 года. Мы не подавали заявку и не проводили собственное сканирование.
