Anthropic отдала сильнейшие нейросети на безопасность опенсорса бесплатно, но без проверки человеком

Anthropic, разработчик семейства моделей Claude, объявила о запуске нового сервиса OSS Scanner. Сервис предлагает опенсорс-проектам добровольное подключение к регулярным проверкам безопасности. Сканирование выполняют сильнейшие модели Anthropic, включая Claude Mythos, и компания не берёт за это денег.

Контекст важен: ИИ-инструменты для поиска багов уже существуют и приносят результат. По данным The Verge, именно с помощью ИИ в мае была найдена уязвимость Copy Fail, затронувшая практически каждый дистрибутив Linux. Но одновременно растёт и проблема: опенсорс-проекты, включая ядро Linux под руководством Линуса Торвальдса, и даже Google жалуются на поток некачественных автоматических отчётов о багах, которые отнимают время вместо того, чтобы его экономить.

Что умеет OSS Scanner?

• Регулярное сканирование кода. Подключённые проекты получают периодические проверки безопасности. Частота сканирования позволяет находить уязвимости раньше, чем они станут эксплойтами.
• Генерация отчётов сильнейшими моделями. Отчёты создаёт Claude Mythos и другие модели Anthropic, которые компания называет своими сильнейшими.
• Добровольное подключение. Проект сам решает, участвовать или нет. Принудительного сканирования нет.
• Без проверки человеком. Anthropic прямо предупреждает: все отчёты генерируются моделью целиком. Человек их не проверяет и не сортирует по приоритету. Это ускоряет процесс, но означает, что часть отчётов может оказаться неверной или нерелевантной.

Как попробовать?

1. Перейдите на страницу OSS Scanner на сайте Anthropic (ссылку компания указала в анонсе сервиса).
2. Подключите свой опенсорс-проект через процедуру добровольной регистрации (opt-in).
3. Дождитесь первого отчёта и проверьте результаты вручную: Anthropic сама рекомендует не полагаться на автоматику без перепроверки.

Почему это палка о двух концах?

Главный компромисс OSS Scanner лежит на поверхности. Скорость и бесплатность достигаются за счёт отсутствия человеческой проверки. Галлюцинация (когда ИИ уверенно сообщает об уязвимости, которой не существует) здесь не теоретический риск, а практический.

Опенсорс-сообщество уже столкнулось с этой бедой. Мейнтейнеры (люди, которые поддерживают и развивают проект) тратят часы на разбор ложных срабатываний. Линус Торвальдс открыто критикует поток таких отчётов. Если OSS Scanner добавит к этому потоку ещё один слой автоматических сообщений без фильтрации, для небольших проектов это может стать не помощью, а нагрузкой.

Есть ли аналоги в России?

Прямого аналога OSS Scanner для российских опенсорс-проектов пока нет. YandexGPT и GigaChat умеют анализировать код по запросу, но ни одна из этих моделей не предлагает автоматического периодического сканирования безопасности с генерацией отчётов.

Российские разработчики могут подключить свои проекты к OSS Scanner напрямую: сервис ориентирован на опенсорс глобально, и Anthropic не указывала географических ограничений в анонсе. Но стоит помнить, что доступность сервисов Anthropic из России бывает нестабильной, и для рабочего процесса лучше заложить запасной вариант.

Что делать с этим прямо сейчас, по ролям

Разработчику опенсорс-проекта. Подключите проект к OSS Scanner, но выделите человека на ручную проверку каждого отчёта. Бесплатная безопасность нейросетей хороша ровно настолько, насколько вы готовы фильтровать ложные срабатывания.

Автору Дзена, пишущему про технологии. Тема безопасности нейросетей и открытого кода набирает вес. Разбор реального отчёта OSS Scanner с комментарием, нашёл ли сканер настоящий баг, это готовый кейс для статьи.

Предпринимателю, использующему опенсорс в продукте. Узнайте у своей команды, подключены ли ваши зависимости к подобным сканерам. Если нет, OSS Scanner может закрыть эту задачу без бюджета на коммерческий аудит.

Частые вопросы

Нужно ли платить за OSS Scanner?

Нет. Anthropic предоставляет сервис бесплатно для опенсорс-проектов. Коммерческих тарифов в анонсе не упоминается.

Можно ли доверять отчётам без проверки человеком?

Anthropic сама предупреждает, что отчёты могут содержать ошибки. Каждый найденный баг стоит проверить вручную перед тем, как вносить исправления в код.

Доступен ли сервис из России?

Anthropic не указала географических ограничений для OSS Scanner. Но доступность сервисов компании из России может меняться, поэтому при подключении стоит проверить работоспособность из вашей сети.

Бесплатный аудит кода от одной из сильнейших ИИ-лабораторий мира, это не подарок, а расчёт, и тем ценнее, что расчёт совпадает с вашей выгодой: подключайте проект, проверяйте отчёты и используйте чужие вычислительные мощности, пока за них не просят денег.