Anthropic održavaocima otvorenog koda besplatno šalje izvještaje o ranjivostima koje nije pregledao čovjek

Anthropic je 8. oktobra 2026. otvorio besplatnu uslugu za traženje ranjivosti u projektima otvorenog koda. OSS Scanner povremeno skenira prijavljene projekte najjačim modelima kompanije i rezultate šalje direktno održavaocima. Kompanija kompromis navodi otvoreno: izvještaji stižu brže jer ih prije slanja niko ne pregleda, pa će neki od njih biti pogrešni.

Šta održavaoci dobijaju

Svaki izvještaj sadrži samostalan postupak za reprodukciju, odnosno dokaz koncepta koji pokazuje kako se greška može izazvati. Uz njega idu objašnjenje ranjivosti i predlog ispravke, kad je dostupan. Gdje je moguće, objašnjenje navodi i kada je greška ušla u kod, što se utvrđuje pretragom kroz istoriju izmjena (bisekcija). Skeniranje rade najjači Anthropicovi modeli, a kompanija među njima navodi Claude Mythos.

Pošto izvještaje u potpunosti generiše model, Anthropic upozorava da će neki sadržati greške, na primjer pogrešnu ocjenu ozbiljnosti. Održavaoci koji su probali rane verzije javili su kompaniji da je ozbiljnost ponekad bila precijenjena ili da skener nije razumio model prijetnji projekta.

Koliko su izvještaji tačni

Anthropic navodi da očekuje udio tačnih nalaza iznad 90 odsto, odnosno da bi više od devet od deset prijavljenih ranjivosti trebalo da bude stvarno. Sopstvena provjera rane verzije dala je nešto nižu brojku. Stručnjaci za testiranje proboja pregledali su 97 kritičnih i visokih nalaza iz 48 projekata. Njih 85, odnosno 88 odsto, ispunilo je uslove za Anthropicov postupak koordinisanog objavljivanja ranjivosti.

Od preostalih 12 nalaza, navodi kompanija, 11 je bilo stvarnih grešaka koje su ponavljale poznate probleme ili druge nalaze, a samo jedan je bio lažno pozitivan. Projekat wolfSSL, jedan od prvih korisnika, navodi da su od 74 primljena izvještaja svi osim dva bili tačni. Pet nalaza dobilo je oznaku CVE, odnosno upis u javni katalog poznatih ranjivosti.

Ko može da se prijavi

Prijava je otvorena za glavne održavaoce projekata koji ispunjavaju uslove. Prijavljuju se zahtjevom za spajanje izmjena (pull request) u Anthropicov repozitorijum oss-scanner na GitHubu, po standardnom šablonu. Uslovi su slični onima koje koristi Googleov OSS-Fuzz: projekat treba da ima kritičan uticaj na infrastrukturu i bezbjednost korisnika, a Anthropic odlučuje od slučaja do slučaja.

Usluga je namijenjena projektima koji imaju kapacitet da prate nalaze. Projekti bez tog kapaciteta i dalje dobijaju izvještaje koje je provjerio čovjek, kroz Anthropicov postupak koordinisanog objavljivanja ranjivosti. Održavaoci mogu da se prijave i u program Claude for OSS, koji daje besplatnu pretplatu Claude Max 20x.

Zašto Anthropic ovo radi

Skener je nastao iz programa Project Glasswing, u kojem Anthropic traži ranjivosti u kritičnom softveru. Kompanija navodi da je za posljednjih šest mjeseci našla više od 29.000 kandidata za ranjivosti, a ručno uspjela da pregleda oko 6.000. Gotovo 5.000 neprovjerenih izvještaja već je poslato održavaocima koji su tražili sve što je pronađeno.

OSS Scanner je dio inicijative Anthropic Cyber Mission, objavljene istog dana. Ona uvodi i Critical Infrastructure Defense Program, program za firme koje štite elektromreže, vodovode i saobraćajne sisteme. Anthropic navodi da besplatnost skenera finansira njegov fond Defender Advantage Fund, ali iznos ne objavljuje.