Anthropic, açık kaynak yazılımlardaki güvenlik açıklarını ücretsiz tarayacak

Anthropic, açık kaynak projelerdeki güvenlik açıklarını kendi en güçlü yapay zeka modelleriyle ücretsiz tarayacak bir hizmet başlattı. OSS Scanner adı verilen hizmete katılan projeler düzenli taramalar alıyor; her raporda açığın nasıl tekrar üretileceği ve mümkünse hazır bir düzeltme yaması bulunuyor. Duyuru, şirketin 8 Ekim’de açıkladığı Anthropic Cyber Mission kapsamında geldi.

Anthropic ne duyurdu?

OSS Scanner, Anthropic’in Claude ile yazılım açıkları aradığı Project Glasswing deneyiminden doğdu. Şirketin Frontier Red Team ekibinin duyurusuna göre hizmet, Google’ın yıllardır açık kaynak projelere ücretsiz sunduğu OSS-Fuzz modeline benziyor; farkı, tarama işini klasik test araçları yerine Claude Mythos dahil en gelişmiş Claude modellerinin yapması.

Hizmet isteğe bağlı. Yani Anthropic hiçbir projeyi kendiliğinden taramıyor; proje sorumluları başvuruyor, kabul edilirse taramalar başlıyor ve proje istediği an duraklatabiliyor ya da tamamen çıkabiliyor.

OSS Scanner nasıl çalışıyor?

Rakamlarla OSS Scanner

Anthropic son altı ayda yaygın kullanılan yazılımlarda 29 binden fazla olası açık buldu. Bunların yaklaşık 6 bini elle incelendi ve şimdiye kadar 5 bine yakın rapor, her şeyi almak isteyen proje sorumlularına doğrudan gönderildi.

Doğruluk testinde uzman sızma testi uzmanları 48 projeden gelen 97 kritik ve yüksek seviyeli bulguyu inceledi. Bunların 85’i, yani yaklaşık yüzde 88’i Anthropic’in koordineli açıklama sürecine girecek kalitede çıktı. Kalan 12 bulgunun 11’i gerçek hata olmakla birlikte zaten bilinen ya da tekrar eden sorunlardı; yalnızca biri tamamen hatalıydı. Erken denemeye katılan şifreleme kütüphanesi wolfSSL, aldığı 74 raporun 72’sinin geçerli olduğunu ve beşinin resmi CVE kaydına dönüştüğünü açıkladı.

Hangi projeler başvurabilir?

Başvuruyu projenin çekirdek ekibinden biri yapıyor: Anthropic’in oss-scanner GitHub deposuna standart şablonla bir pull request gönderiliyor. Uygunluk ölçütü OSS-Fuzz’a benziyor; altyapı ve kullanıcı güvenliği üzerinde kritik etkisi olan, yerleşik projeler öncelikli. Kararlar tek tek veriliyor.

Hizmet, doğrulanmış kritik raporlara zaten yetişebilen ve daha fazla bulguyu inceleyecek kapasitesi olan ekipler için tasarlandı. Bu kapasiteye sahip olmayan küçük projeler ise Anthropic’in mevcut süreci üzerinden insanlar tarafından doğrulanmış raporları almaya devam edecek.

Açıklar ne zaman kamuoyuna açıklanıyor?

Güvenlik dünyasında genel kural, bir açık bildirildikten sonra 90 gün içinde kapatılması ve ardından kamuoyuyla paylaşılması. OSS Scanner’ın insan kontrolünden geçmemiş raporları için bu zorunlu 90 günlük süre işlemiyor. Bir bulgu Anthropic’in koordineli açıklama programında doğrulanırsa, proje sorumlularına bildirildiği andan itibaren 90 günlük süre başlayabiliyor.

Kritik altyapı programı da başladı

Anthropic aynı gün, elektrik şebekeleri ve su sistemleri gibi kritik altyapıyı koruyan güvenlik şirketlerine yönelik Critical Infrastructure Defense Program’ı da duyurdu. Programa Accenture, Deloitte, PwC, Booz Allen Hamilton, CrowdStrike, Palo Alto Networks, Dragos, Nozomi Networks, Insane Cyber, Hitachi ve Rockwell Automation dahil 11 kurucu ortak katıldı. Ortaklar Anthropic’in en gelişmiş modellerine ve sahada çalışacak mühendislerine erişiyor. Ticari şartlar açıklanmadı.

Anthropic, iki yıl içinde yapay zekanın saldıranlardan çok savunanların işine yarayacağını öngörüyor. Şirkete göre bugün açık bulmak kolaylaştı, ama doğrulamak ve düzeltmek hâlâ yavaş ve insana bağlı. Yapay zekanın siber güvenlikteki rolüne dair Mistral Large 4 ve Claude Fable 5.1 yazılarımıza da göz atabilirsiniz.

Sıkça Sorulan Sorular