Vad som lanserades den 8 oktober

Anthropic lanserade den 8 oktober Anthropic Cyber Mission med två program: OSS Scanner för projekt med öppen källkod och Critical Infrastructure Defense Program för de leverantörer som säkrar operativ teknik (OT).

Infrastrukturprogrammet ger Claude-modeller, tekniker på plats och hotforskning till säkerhetsleverantörer som skyddar elnät, vattensystem och transportnät. Grundande partner är Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC och Rockwell Automation, och Anthropic säger att det börjar med en liten grupp leverantörer.

OSS Scanner är en frivillig tjänst inspirerad av Googles OSS-Fuzz. Anmälda projekt får regelbundna säkerhetsskanningar av Anthropics starkaste modeller utan kostnad, och The Verge uppger att Claude Mythos ingår. Varje rapport innehåller ett proof of concept, en förklaring och en föreslagen rättning där en finns.

Rapporter som skickas utan en människa i processen

OSS Scanners rapporter genereras av modellen och skickas till underhållare utan mänsklig granskning eller triage, vilket enligt Anthropic gör dem snabbare och innebär att vissa blir fel.

Anthropics eget exempel på ett fel är en felbedömd allvarlighetsgrad. Det väntar sig över 90 procent sanna positiva, vilket enligt dess egen uppskattning lämnar färre än en rapport av tio fel, och en underhållare kan inte på förhand veta vilken.

Anmälan sker med en pull request från ett projekts kärnunderhållare, med kriterier nära Googles OSS-Fuzz: kritisk betydelse för infrastruktur och användarsäkerhet, exponering för angrepp på distans och antalet projekt som är beroende av det. Anthropic säger rakt ut att många projekt redan är överväldigade av rapporterna de får och att tjänsten är byggd för projekt som redan hinner med verifierade rapporter om höga och kritiska sårbarheter.

Obekräftade fynd utlöser ingen röjandefrist på 90 dagar, eftersom Anthropic inte vill tvinga underhållare att läsa noga fynd som det självt inte har läst. Ett projekt kan pausa rapporterna med en konfigurationsrad eller lämna och återgår då till standardvägen, där Anthropic säger sig ha granskat över 6 000 rapporter fram till oktober 2026.

Varför åtgärdandet nu är flaskhalsen

Anthropics eget lanseringsinlägg säger att det aldrig varit lättare att hitta sårbarheter, medan det fortfarande är svårt att verifiera, prioritera och åtgärda dem.

I Project Glasswing gick det enligt Anthropic ofta månader mellan att en sårbarhet hittades och att den åtgärdades. För operativ teknik kan en rättning få vänta tills den kan tillämpas säkert på maskiner i drift, i sällsynta fall i decennier. Anthropic förutspår att AI om två år kommer att gynna försvaret, men säger att det på kort sikt kanske inte stämmer, eftersom kostnaden för att utnyttja sårbarheter har sjunkit medan verifiering och åtgärd fortfarande hänger på människor.

The Verge lägger till trycket i mottagarledet: vissa projekt med öppen källkod, däribland Linus Torvalds och Google, har svårt att hänga med i den plötsliga floden av AI-genererade buggrapporter. En gratis skanner tillför egna rapporter för varje projekt som anmäler sig, och därför begränsar Anthropic den till projekt med kapacitet att följa med.

Anthropic säger sig ha stöttat organisationerna bakom ofta använd öppen källkod, däribland Python Software Foundation, Alpha-Omega och OpenSSF via Linux Foundation samt Apache Software Foundation, och att en Defender Advantage Fund som lanserades i augusti håller OSS Scanner gratis.

Vad du gör med din lista över beroenden

Ett företag som är beroende av bibliotek med öppen källkod bör inte läsa lanseringen som en säkrare leveranskedja, för skannern når bara projekt som anmäler sig och har kapacitet för triage.

Fråga de leverantörer av öppen källkod du förlitar dig mest på om de har anmält sig, vem som läser rapporterna och vilken svarstid du kan vänta dig. Underhåller du själv öppen källkod, bestäm före anmälan vem som gör triage och vad som händer med de felaktiga rapporterna. Använder du den bara, avsätt tid för patchar eller stötta underhållarna, för snabbare upptäckt ökar antalet rättningar du måste tillämpa.

EU:s Cyber Resilience Act levererar klockan på tillverkarsidan. Europeiska kommissionen anger 11 september 2026 som start för rapporteringsplikten för aktivt utnyttjade sårbarheter, med en tidig varning inom 24 timmar efter kännedom, en full anmälan inom 72 timmar och en slutrapport senast 14 dagar efter att en åtgärd finns tillgänglig. Stewards för öppen källkod får rapporteringsplikt från 11 december 2027 och omfattas enligt lagens lätta regim för dem inte av administrativa sanktionsavgifter.

Den som driver operativ teknik bör fråga sin säkerhetsleverantör om den är grundande partner i programmet, eftersom Critical Infrastructure Defense Program ger Claude-modeller, tekniker på plats och hotforskning till de leverantörerna, och Anthropic säger att kritisk infrastruktur är svår att försvara på många sätt som AI inte kan lösa.

Läs vidare: En AI-agents falska mordtips förblev osett i 72 dagar  |  Google fryser intaget till open source bug bounty