Как ИИ находит уязвимости: сканер Anthropic для открытого ПО

Описание: Как антропоморфный сканер открытого исходного кода находит уязвимости в чужом коде, и как кто-либо может узнать, что ошибка реальна?
Мы шаг за шагом прослеживаем работу одного вымышленного входного файла через сканер уязвимостей с открытым исходным кодом на основе ИИ: закрытый ящик, чтение кода с точки зрения злоумышленника, фаззинг против модели, которая сначала читает код, воспроизводимый пример, подтверждающий наличие ошибки, бисекция, предполагаемое исправление и почему отчеты обходят проверку человеком.

По состоянию на 9 октября 2026 года. Факты в этом видео актуальны на эту дату.

Разделы
0:00 Бесплатное сканирование, без проверки человеком: поэтому нужно это доказать
0:25 Что произошло: Mythos, curl и Cyber ​​Mission
1:12 Почему важен открытый исходный код
1:45 Регистрация: файл конфигурации и рецепт
2:14 Запечатанная коробка
2:40 Чтение кода как у злоумышленника
3:22 Фаззинг против модели, которая сначала читает
4:00 Воспроизводитель: ошибка по запросу
4:34 Бисекционный анализ: поиск первого некорректного изменения
5:21 Предполагаемое исправление и частный отчет
5:57 Почему нет проверки человеком: 29 000 против 6 000
6:45 Что говорят люди
8:13 Что мы еще не знаем
8:50 Возвращаемся к вопросу

Примечания: здесь представлены все данные Anthropic (более 29 000 кандидатов, около 6 000 проверены людьми, почти 5 000 непроверенных отчетов, более 90% ожидается Честно говоря, результат 97/85 (тест ранней версии) — это собственное утверждение Anthropic, а не независимое измерение. Сканирование curl в мае 2026 года было отдельным сканированием Mythos, а не OSS Scanner. Переполнение буфера — это вымышленный пример: в реальном проекте нет ошибки, нет эксплойт-кода. Диаграммы нарисованы в коде, чтобы показать принцип работы. Это объясняет, как работает технология; это не рекомендация о том, стоит ли регистрировать проект.

Что говорят люди:
Антон Арапов (OpenSSL Corporation (цитируется в сообщении Anthropic о запуске)), сообщение Anthropic Research, 08.10.2026: https://www.anthropic.com/research/la...
Даниэль Стенберг (ведущий разработчик curl), daniel.haxx.se (блог), 11.05.2026: https://daniel.haxx.se/blog/2026/05/1...

Источники:
Anthropic, Anthropic Cyber ​​Mission (8 октября 2026 г.; OSS Scanner, программа критической инфраструктуры, фонд, благодаря которому сканер остается бесплатным): https://www.anthropic.com/news/anthro...
Anthropic, запуск Сервис поиска уязвимостей с возможностью добровольного участия для проектов с открытым исходным кодом (8 октября 2026 г.; 29 000 / 6 000 / 5 000, без проверки человеком, ожидаемый процент истинно положительных результатов, тест 97 / 85, цитата Арапова): https://www.anthropic.com/research/la...
Anthropic, Часто задаваемые вопросы о сканере OSS (право на участие, регистрация, онлайн-сборка и офлайн-аудит, содержание отчетов, раскрытие информации): https://red.anthropic.com/oss-scanner/
SiliconANGLE, Anthropic запускает программу для критической инфраструктуры и бесплатный сканер OSS для проектов с открытым исходным кодом (8 октября 2026 г.): https://siliconangle.com/2026/10/08/a...
Даниэль Стенберг, Mythos обнаружил уязвимость curl (11 мая 2026 г.): https://daniel.haxx.se/blog/2026/05/1...
Google, OSS-Fuzz: https://google.github.io/oss-fuzz/
LLVM, libFuzzer (фаззинг с управлением покрытием): https://llvm.org/docs/LibFuzzer.html
MITRE, CWE-120 Классическое переполнение буфера: https://cwe.mitre.org/data/definition...
Документация Git, git-bisect: https://git-scm.com/docs/git-bisect

Следующий эпизод: как чат-бот ищет информацию в интернете перед тем, как ответить
Подпишитесь, чтобы не пропустить: https://www.youtube.com/@lighthouseex...

#OSSScanner #Anthropic #OpenSource