ИИ находит, люди чинят · 2/5 https://set.ki/post/CaZhnCy

По данным Anthropic, её модели нашли более 29 000 кандидатов в уязвимости в open source. Примерно 6 000 из них люди проверили и разобрали вручную: такие отчёты идут по старому пути, с человеческой проверкой. Новый сервис OSS Scanner (анонс 8 октября) устроен иначе: проект по заявке бесплатно получает сканирование кода моделями Anthropic, а отчёты приходят быстро и без ручной проверки.

Что Anthropic говорит прямо. Узкое место — человеческая способность проверять находки. Мейнтейнеры (те, кто сопровождает проекты) всё чаще просили присылать все находки, даже непроверенные, и почти 5 000 отчётов ушли именно так; судя по схеме дашборда это другая группа, чем те 6 000. Образец отбора проектов: OSS-Fuzz, проект Google, который ищет уязвимости фаззингом; критерии похожи.

Анонс и FAQ не отвечают на три вопроса.

Вопрос 1. Как распределены работа и расходы на исправления. Источники про их стоимость молчат. Сервис даёт воспроизводимый пример и, когда есть, кандидат-патч; внутри конвейера находки перепроверяют агенты, но не люди. Читать отчёт, оценивать серьёзность и выпускать исправление остаётся мейнтейнеру. Кроме патча, названа одна помощь с исправлениями: бесплатные подписки Claude Max 20x.

Вопрос 2. Кто остаётся вне программы. Проекты без сил на проверку не исключены, но предупреждены: FAQ говорит, что сервис сделан для тех, кто уже справляется с проверенными («verified») отчётами о серьёзных уязвимостях, а находки самого сервиса идут без ручной проверки.

Остальным остаётся ручное скоординированное раскрытие (CVD): сначала сообщить авторам, потом публиковать. Очередь там, по дашборду раскрытий, зависит от серьёзности находок и загруженности мейнтейнера; сколько ждать, не сказано.

Вопрос 3. Можно ли верить цифрам, которые проверяла сама компания. По данным Anthropic, пентестеры (специалисты по проверочным атакам), обычно проверяющие её находки, оценили 97 находок ранней версии сканера, и 85 (88%) прошли планку её CVD-процесса. Отбор 97 и планка не описаны, независимого аудита нет.

Мой вывод, не слова компании: часть работы сервис берёт на себя, а проверка и исправление остаются у мейнтейнера.

Если бы такой сервис предложили вашему проекту или команде, о чём вы спросили бы до подключения (например, кто разберёт непроверенные отчёты)?

— Ранее (1/5): находить стали быстрее и больше, а проверка и исправление остаются за людьми - https://set.ki/post/S8MyKbK

Дальше (3/5): как устроено раскрытие уязвимостей в США, Китае и Европе - https://set.ki/post/mjQrVWk