Anthropic nemokamai tikrins atviro kodo projektų saugumą

Anthropic pristatė OSS Scanner paslaugą, kuri nemokamai tikrins atviro kodo projektus ir siųs pažeidžiamumų ataskaitas jų prižiūrėtojams.

Pasak The Verge, spalio 8 dieną paskelbta paslauga yra pasirenkama, todėl projektai turės patys sutikti su periodiniais patikrinimais. Bendrovė teigia, kad ataskaitas kurs stipriausi jos modeliai, įskaitant Claude Mythos, o žmogaus peržiūros ar triage proceso jose nebus.

Tai svarbu atviro kodo ekosistemai, nes saugumo našta dažnai tenka mažoms komandoms arba savanoriams, prižiūrintiems plačiai naudojamas bibliotekas. Pasak Anthropic cituojamo pranešimo, modelių parengtos ataskaitos gali būti netikslios arba negaliojančios, tačiau greitesnis skenavimas turėtų suteikti projektams daugiau gynybinio laiko.

The Verge primena, kad DI įrankiai jau padėjo rasti rimtų spragų atviro kodo programinėje įrangoje, įskaitant gegužę minėtą Copy Fail problemą. Kartu leidinys nurodo kitą pusę: kai kurie projektai, tarp jų Linux bendruomenė ir Google, susidūrė su DI sugeneruotų pranešimų antplūdžiu, kurį tenka tikrinti žmonėms.

Pasak leidinio, OSS Scanner išsiskiria tuo, kad skenavimas būtų periodinis, o ne vienkartinis eksperimentas. Tokia tvarka gali būti naudinga bibliotekoms, kurios nuolat gauna pakeitimų, bet neturi nuolatinio saugumo audito biudžeto.

The Verge taip pat pabrėžia, kad paslaugos ataskaitos bus visiškai modelių sugeneruotos. Tai reiškia, kad projekto prižiūrėtojui reikės pačiam nuspręsti, ar pranešimas yra tikras pažeidžiamumas, ar tik modelio klaida.

Ši naujiena rodo, kad DI saugumo įrankiai juda į jautrią ribą tarp pagalbos ir papildomo triukšmo. Jei ataskaita padeda greičiau rasti tikrą spragą, nauda aiški, bet klaidingi pranešimai gali atimti laiką iš tų pačių žmonių, kuriems pagalba skirta.

Atviro kodo bendruomenėje tai bus vertinama pagal praktinį tikslumą, o ne pagal patį DI pažadą. Projektams svarbiausia, kad pranešimas būtų atkuriamas, aiškus ir neperkrautų žmonių papildomu triukšmu.

Paslaugos nemokamas pobūdis gali pritraukti mažesnius projektus, kurie paprastai neturi galimybių užsisakyti reguliarių auditų.

Toliau bus svarbu, kaip Anthropic atskirs rimtus pažeidžiamumus nuo modelių spėjimų. Atviro kodo projektams reikės spręsti, ar dažnesni automatiniai patikrinimai verti papildomo tikrinimo darbo.