Anthropic ra mắt công cụ quét lỗ hổng AI cho dự án mã nguồn mở
"Anthropic launched OSS Scanner, an opt-in AI-powered vulnerability scanning service for open-source projects that uses its strongest models to generate periodic security reports at no cost. The program is intended to help identify and report vulnerabilities faster, with no fixed 90-day disclosure window initially due to possible false positives; Anthropic says it has already identified over 29,000 candidate vulnerabilities and reported more than 6,000 flaws, resulting in 584 advisories as of October 2, 2026."
Tăng khả năng phát hiện sớm lỗ hổng bảo mật trong mã nguồn mở; tuy nhiên cần lưu ý false positive và quy trình xác minh trước khi xử lý.
Có thể giảm thời gian vá lỗi và hỗ trợ vận hành an toàn hơn cho các dự án phụ thuộc vào open-source; đổi lại cần thêm công sức để tiếp nhận và triage báo cáo.
Anthropic vừa giới thiệu OSS Scanner, một dịch vụ quét lỗ hổng opt-in dành cho các dự án mã nguồn mở. Công cụ này dùng các mô hình AI mạnh nhất của hãng để tạo báo cáo bảo mật định kỳ miễn phí, với mục tiêu phát hiện và thông báo lỗ hổng nhanh hơn.
Theo Anthropic, kết quả quét sẽ được tạo hoàn toàn bởi mô hình, không cần rà soát thủ công hay phân loại ban đầu, nhằm tăng tần suất kiểm tra. Dịch vụ hiện chưa áp dụng mốc công bố 90 ngày như nhiều chương trình khác, do có thể xuất hiện false positive. Nếu một báo cáo sau đó được xác minh thủ công qua chương trình CVD, thời hạn công bố có thể được tính từ thời điểm thông báo xác nhận.
Anthropic cho biết họ đã xác định hơn 29.000 ứng viên lỗ hổng, gửi báo cáo về hơn 6.000 lỗi và tạo ra 584 advisories tính đến 02/10/2026. Dự án muốn tham gia cần gửi pull request kèm YAML configuration và thông tin kho mã, liên hệ, cùng Dockerfile để môi trường kiểm thử có thể chạy offline.
Khuyến nghị cho đội kỹ thuật: đánh giá mức độ phù hợp của dự án trước khi đăng ký, kiểm tra kỹ false positive, và chuẩn bị quy trình tiếp nhận báo cáo để đối chiếu với CVD policy nội bộ.