Anthropic ускоряет доставку ИИ-отчётов об уязвимостях мейнтейнерам OSS и привлекает 11 компаний к защите OT

Компания Anthropic представила два связанных инициативных направления в области кибербезопасности: инструмент OSS Scanner для ускоренной передачи сообщений об уязвимостях мейнтейнерам открытого исходного кода и партнёрство с 11 компаниями, специализирующимися на безопасности операционных технологий (OT). OSS Scanner — это механизм, который автоматически направляет мейнтейнерам открытых проектов отчёты об уязвимостях, сгенерированные ИИ-моделью. Ключевая особенность: отчёты отправляются без предварительной проверки человеком. Это означает, что мейнтейнеры получают результаты работы модели в том виде, в котором их выдал ИИ, и самостоятельно оценивают их достоверность и значимость. Чтобы снизить риск нежелательной нагрузки на сопровождающих, Anthropic сделала программу opt-in — сообщения получают только те проекты, которые сами изъявили желание участвовать.

Подробности

OSS Scanner ориентирован на открытое программное обеспечение, где нехватка ресурсов у мейнтейнеров является давней проблемой: многие проекты сопровождаются небольшими командами или энтузиастами, и поток автоматизированных отчётов об уязвимостях может как помочь, так и создать дополнительную нагрузку. Именно поэтому участие сделано добровольным. Отдельно Anthropic объявила о привлечении 11 компаний к работе над безопасностью OT — операционных технологий, используемых в промышленности, энергетике и критической инфраструктуре. OT-системы традиционно отличаются от ИТ-инфраструктуры и требуют специализированных подходов к защите. В исходном сообщении не приводятся конкретные версии продуктов, идентификаторы CVE или технические детали обнаруженных уязвимостей.

Что делать

Мейнтейнерам открытых проектов, которые рассматривают участие в программе, стоит взвесить свою способность обрабатывать поток автоматически сгенерированных отчётов: поскольку проверка человеком на стороне Anthropic не проводится, именно на сопровождающих ложится задача верификации сообщений и отсеивания ложных срабатываний. Разумно заранее определить внутренний процесс триажа таких отчётов и назначить ответственных. Организациям, эксплуатирующим OT-системы, имеет смысл следить за развитием партнёрства Anthropic с профильными компаниями — оно может повлиять на доступность инструментов и практик защиты промышленных сред. Итог: инициативы Anthropic отражают растущую роль ИИ в обнаружении уязвимостей, но при этом перекладывают часть ответственности за проверку результатов на сообщество и профильных игроков рынка.

Источник: SecurityWeek