Anthropic uruchomił OSS Scanner, narzędzie przeskanowujące kodownie open-source w poszukiwaniu luk bezpieczeństwa przy użyciu zaawansowanych modeli AI. System działa całkowicie automatycznie na infrastrukturze Anthropic i bezpośrednio raportuje znaleziska maintainerom projektów bez wcześniejszej weryfikacji człowieka. To podejście ogranicza wąskie gardło tradycyjnych procesów przeglądów bezpieczeństwa, gdzie wcześniej zaledwie 6 tysięcy z ponad 29 tysięcy kandydatów na problemy weryfikowali ludzie.
Na dzień 19 października system przyjął 114 projektów z około 650 aplikacji i przez 11 dni odkrył 77 krytycznych i 803 wysokich znaleź. Testy pokazały wysoką dokładność - spośród 97 audytowanych znaleź krytycznych i wysokich, 85 (88 procent) spełniło standardy ujawniania Anthropic, a tylko jedno było fałszywym alarmem. Projekt wolfSSL potwierdził, że 72 z 74 raportów były rzeczywiście ważne. Jednak system ma też wady: brak przeglądu człowieka prowadzi do duplikowania zgłoszeń już znanych problemów i potencjalnie zawyżania ich ważności, co może obciążać zespoły utrzymujące projekty dodatkową pracą przy triażowaniu.
OSS Scanner wzoruje się na narzędziu Google OSS-Fuzz, ale zamiast fuzzingu stosuje modele językowe Claude. Narzędzie skanuje repozytoria w izolowanych maszynach wirtualnych bez dostępu do internetu, a maintainerzy mogą dostarczyć Dockerfile do automatyzacji procesu. To stanowi znaczący krok w kierunku skali bezpieczeństwa open-source, choć model bez człowieka wymaga od zespołów jeszcze bardziej rozwinięte procedury triażowania i walidacji.