Anthropic giới thiệu công cụ quét lỗ hổng bảo mật AI miễn phí cho mã nguồn mở

Công ty trí tuệ nhân tạo Anthropic vừa chính thức công bố OSS Scanner, một dịch vụ quét lỗ hổng bảo mật theo hình thức tự nguyện nhằm bảo vệ hệ sinh thái mã nguồn mở nhờ ứng dụng công nghệ AI.

Nguồn gốc và cơ chế hoạt động của OSS Scanner

Dịch vụ này được phát triển dựa trên kinh nghiệm thực tế của Anthropic khi họ sử dụng mô hình Claude để tìm kiếm các lỗ hổng trong dự án Project Glasswing. Điểm khác biệt cốt lõi của OSS Scanner là khả năng tự động tạo ra các báo cáo bảo mật hoàn toàn bằng AI mà không yêu cầu sự đánh giá hay phân loại thủ công từ con người, giúp quá trình quét diễn ra thường xuyên và nhanh chóng hơn. Anthropic xác nhận các báo cáo này được tạo ra bởi những mô hình tiên tiến nhất của hãng, bao gồm cả Claude Mythos.

Quy trình tham gia và yêu cầu kỹ thuật

Về tiêu chí lựa chọn dự án, Anthropic áp dụng các nguyên tắc tương tự như dự án OSS-Fuzz của Google. Các nhà bảo trì dự án cần cung cấp mô tả ngắn gọn về tầm quan trọng của dự án nếu chưa rõ ràng. Việc đăng ký được thực hiện thông qua một yêu cầu kéo (pull request) trên kho lưu trữ GitHub chính thức của OSS Scanner.

Để tham gia, nhà phát triển cần chuẩn bị một tệp cấu hình YAML chứa các thông tin chi tiết về dự án theo yêu cầu kỹ thuật bắt buộc. Bên cạnh đó, các dự án có thể bổ sung thông tin tùy chọn như khóa công khai GPG để mã hóa báo cáo, đường dẫn đến tệp mô hình đe dọa (threat_model.md) hoặc địa chỉ email nhận thông báo.

Chính sách tiết lộ lỗ hổng và định hướng tương lai

Khác với các chương trình truyền thống, Anthropic hiện không áp dụng thời hạn tiết lộ 90 ngày cho các phát hiện từ OSS Scanner do lo ngại về hiện tượng dương tính giả. Tuy nhiên, khi một lỗ hổng được xác nhận thủ công thông qua chương trình CVD, chính sách tiết lộ 90 ngày sẽ được kích hoạt kể từ thời điểm thông báo cho nhà phát triển. Anthropic cũng lưu ý rằng họ có thể áp dụng các quy định nghiêm ngặt hơn về thời hạn tiết lộ đối với lỗ hổng nghiêm trọng trong tương lai khi độ tin cậy của công cụ tăng lên.

Sự ra đời của OSS Scanner nằm trong khuôn khổ Chương trình Bảo vệ Cơ sở Hạ tầng Trọng yếu thuộc Cyber Mission của Anthropic. Trong bối cảnh tội phạm mạng ngày càng lợi dụng AI để tấn công, hãng kỳ vọng công nghệ này sẽ mang lại lợi thế lớn cho phe phòng thủ, giúp phát hiện lỗi sớm và xây dựng các kiến trúc phần mềm an toàn hơn.