Hvad der blev lanceret den 8. oktober
Anthropic lancerede den 8. oktober Anthropic Cyber Mission med to programmer: OSS Scanner til open source-projekter og Critical Infrastructure Defense Program til de leverandører, der sikrer driftsteknologi (OT).
Infrastrukturprogrammet bringer Claude-modeller, ingeniører på stedet og trusselsforskning til sikkerhedsleverandører, der beskytter elnet, vandsystemer og transportnet. Stiftende partnere er Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC og Rockwell Automation, og Anthropic siger, at det starter med en lille gruppe leverandører.
OSS Scanner er en frivillig tjeneste inspireret af Googles OSS-Fuzz. Tilmeldte projekter får periodiske sikkerhedsscanninger fra Anthropics stærkeste modeller uden omkostninger, og The Verge skriver, at Claude Mythos er med. Hver rapport indeholder et proof of concept, en forklaring og en foreslået rettelse, hvor der findes en.
Rapporter sendt uden et menneske i processen
OSS Scanners rapporter genereres af modellen og sendes til vedligeholdere uden menneskelig gennemgang eller triage, hvilket ifølge Anthropic gør dem hurtigere og betyder, at nogle vil være forkerte.
Anthropics eget eksempel på en fejl er en forkert vurderet alvorlighed. Det forventer over 90 procent sande positive, hvilket efter dets eget skøn efterlader færre end hver tiende rapport forkert, og en vedligeholder kan ikke vide på forhånd, hvilken.
Tilmelding sker med et pull request fra et projekts kernevedligeholdere, med kriterier tæt på Googles OSS-Fuzz: kritisk betydning for infrastruktur og brugersikkerhed, eksponering for angreb på afstand og antallet af projekter, der afhænger af det. Anthropic siger ligeud, at mange projekter allerede er overvældet af de rapporter, de får, og at tjenesten er bygget til projekter, der allerede kan følge med verificerede rapporter om høje og kritiske sårbarheder.
Ubekræftede fund udløser ikke en offentliggørelsesfrist på 90 dage, fordi Anthropic ikke vil tvinge vedligeholdere til at læse fund omhyggeligt, som det ikke selv har læst. Et projekt kan sætte rapporter på pause med én konfigurationslinje eller forlade ordningen og vender så tilbage til standardvejen, hvor Anthropic siger at have gennemgået over 6.000 rapporter inden oktober 2026.
Hvorfor det nu er rettelsen, der er flaskehalsen
Anthropics eget lanceringsindlæg siger, at det aldrig har været lettere at finde sårbarheder, mens det stadig er svært at verificere, prioritere og rette dem.
I Project Glasswing gik der ifølge Anthropic ofte måneder mellem fundet af en sårbarhed og rettelsen af den. For driftsteknologi kan en rettelse skulle vente, til den kan anvendes sikkert på kørende maskineri, i sjældne tilfælde i årtier. Anthropic forudsiger, at AI om to år vil favorisere forsvaret, men siger, at det på kort sigt ikke nødvendigvis er sådan, fordi prisen for at udnytte sårbarheder er faldet, mens verificering og rettelse stadig afhænger af mennesker.
The Verge tilføjer presset i modtagerenden: Nogle open source-projekter, blandt dem Linus Torvalds og Google, har svært ved at følge med den pludselige strøm af AI-genererede fejlrapporter. En gratis scanner tilføjer egne rapporter for hvert projekt, der tilmelder sig, og derfor begrænser Anthropic den til projekter med kapacitet til at følge med.
Anthropic siger, at det har støttet organisationerne bag meget brugt open source-kode, blandt dem Python Software Foundation, Alpha-Omega og OpenSSF gennem Linux Foundation og Apache Software Foundation, og at en Defender Advantage Fund lanceret i august holder OSS Scanner gratis.
Hvad du gør med din liste over afhængigheder
En virksomhed, der afhænger af open source-biblioteker, bør ikke læse lanceringen som en sikrere forsyningskæde, for scanneren når kun projekter, der tilmelder sig og har kapacitet til triage.
Spørg de open source-leverandører, du læner dig mest op ad, om de har tilmeldt sig, hvem der læser rapporterne, og hvilken svartid du kan forvente. Vedligeholder du selv open source, så beslut før tilmelding, hvem der foretager triage, og hvad der sker med de forkerte rapporter. Bruger du det blot, så afsæt tid til patches eller støt vedligeholderne, for hurtigere opdagelse øger antallet af rettelser, du skal anvende.
EU's Cyber Resilience Act leverer uret på producentsiden. Europa-Kommissionen angiver 11. september 2026 som start på indberetningspligten for aktivt udnyttede sårbarheder med en tidlig varsling inden for 24 timer efter kendskab, en fuld anmeldelse inden for 72 timer og en slutrapport senest 14 dage efter, at en rettelse er tilgængelig. Stewards af open source-software har indberetningspligt fra 11. december 2027 og er efter lovens lette ordning for dem ikke omfattet af administrative bøder.
Den, der driver driftsteknologi, bør spørge sin sikkerhedsleverandør, om den er stiftende partner i programmet, for Critical Infrastructure Defense Program bringer Claude-modeller, ingeniører på stedet og trusselsforskning til disse leverandører, og Anthropic siger, at kritisk infrastruktur er svær at forsvare på mange måder, som AI ikke kan løse.
Læs videre: En AI-agents falske drabstip forblev usét i 72 dage | Google fryser indgangen til open source bug bounty
