Mythosآنتروپیک نحوه اسکن و معیارهای انتخاب پروژه ها را تشریح کرد
آنتروپیک اعلام کرده است که خروجی‌های اسکنر OSS Scanner به‌طور کامل توسط مدل‌های هوش مصنوعی تولید می‌شوند و برای بازبینی یا ارزیابی اولیه آن‌ها به دخالت نیروی انسانی نیازی نیست. این رویکرد امکان انجام اسکن‌های امنیتی سریع‌تر و مکررتر را فراهم می‌کند. همچنین، انتظار می‌رود این گزارش‌ها با استفاده از قدرتمندترین مدل‌های هوش مصنوعی آنتروپیک، از جمله Claude Mythos تولید شوند.
این شرکت قصد دارد برای انتخاب پروژه‌های متن‌باز، مجموعه‌ای از معیارهای مشابه معیارهای مورد استفاده در پروژه OSS-Fuzz گوگل را به کار بگیرد؛ البته این فرآیند ممکن است به‌مرور زمان تغییر کند. همچنین، به مدیران پروژه‌ها توصیه شده است در مواردی که اهمیت پروژه از قبل به‌اندازه کافی روشن نیست، توضیح کوتاهی درباره اهمیت آن ارائه دهند.
مراحل ثبت‌نام پروژه‌ها و آماده‌سازی محیط اسکن امنیتی
برای ثبت‌نام در این طرح، مسئولان فنی اصلی پروژه باید یک درخواست Pull (PR) در مخزن گیت‌هاب OSS Scanner ثبت کنند و فایل پیکربندی YAML را نیز در آن قرار دهند. این فایل باید حاوی اطلاعات زیر باشد:
- لینک مخزن گیتی که قرار است کلون (Clone) شود.
- آدرس ایمیل مخاطب اصلی پروژه.
- مسیر فایل Dockerfile نسبت به ریشه مخزن پروژه. این فایل با پیکربندی محیط اجرا، نصب تمام وابستگی‌های موردنیاز و ساخت پروژه، شرایط لازم را برای انجام ممیزی امنیتی توسط عامل هوش مصنوعی (AI Agent) در محیطی بدون دسترسی به اینترنت فراهم می‌کند.
آنتروپیک توضیح داده است که Dockerfile محیطی را پیکربندی می‌کند که پروژه در آن اجرا می‌شود و تمام وابستگی‌های موردنیاز را نصب می‌کند تا عامل هوش مصنوعی بتواند ممیزی امنیتی را بدون دسترسی به اینترنت انجام دهد. این شرکت توصیه کرده است که پیش از ثبت درخواست، از اجرای موفقیت‌آمیز موارد آزمون در کانتینر ساخته‌شده اطمینان حاصل شود.
علاوه بر این، امکان افزودن اطلاعات و تنظیمات اختیاری زیر به فایل YAML وجود دارد:
- آدرس‌های ایمیل اضافی برای دریافت یک نسخه از تمام گزارش‌ها (CC)
- صفحه اصلی پروژه
- کلید عمومی GPG برای رمزگذاری ایمیل‌های گزارش‌ها
- مسیر فایل مدل تهدید (Threat Model) با نام md نسبت به ریشه مخزن پروژه؛ این فایل محدوده کدهای مورد آزمایش، معیارهای دسته‌بندی آسیب‌پذیری‌ها و فرمت گزارش‌ها را مشخص می‌کند.
- غیرفعال‌کردن دریافت گزارش‌های باگ با تنظیم مقدار disabled: true
آنتروپیک سیاست افشای آسیب‌پذیری‌ها را توضیح داد
تا زمان نگارش این گزارش، 116 درخواست Pull برای مشارکت در مخزن OSS Scanner ثبت شده بود. آنتروپیک اعلام کرده است که برخلاف سایر برنامه‌های دریافت و بررسی گزارش‌های آسیب‌پذیری، فعلاً قصد ندارد مهلت 90 روزه‌ای برای افشای یافته‌ها تعیین کند؛ زیرا ممکن است برخی گزارش‌ها شامل موارد مثبت کاذب (False Positives) باشند.
این شرکت توضیح داده است که اگر گزارشی از طریق برنامه فعلی افشای هماهنگ آسیب‌پذیری‌ها (CVD) و پس از بررسی دستی تأیید شود، ممکن است آن را مطابق سیاست افشای آسیب‌پذیری‌های خود منتشر کند. در این صورت، مهلت 90 روزه از زمانی آغاز می‌شود که فرد ارسال‌کننده گزارش از تأیید گزارش توسط یک انسان مطلع شود.
آنتروپیک اعلام کرده است که در صورت افزایش اطمینان به عملکرد OSS Scanner، ممکن است در آینده برای افشای برخی آسیب‌پذیری‌های با شدت بالا، مهلت زمانی مشخصی تعیین کند.
بر اساس اعلام شرکت، تاکنون بیش از 29 هزار آسیب‌پذیری بالقوه در برخی از مهم‌ترین پروژه‌های نرم‌افزاری جهان شناسایی شده است. از میان این آسیب‌پذیری‌ها، بیش از 6 هزار مورد به تیم‌های توسعه و مسئولان فنی پروژه‌ها گزارش شده و تا 2 اکتبر 2026، در مجموع 584 اطلاعیه امنیتی (Security Advisories) در این زمینه منتشر شده است.
برنامه‌ای برای تقویت امنیت زیرساخت‌های حیاتی و نرم‌افزارهای متن‌باز
معرفی OSS Scanner هم‌زمان با رونمایی آنتروپیک از برنامه دفاع از زیرساخت‌های حیاتی (Critical Infrastructure Defense Program) انجام شده است. این برنامه در چارچوب مأموریت سایبری شرکت و با هدف حفاظت از زیرساخت‌های حیاتی و نرم‌افزارهای متن‌باز راه‌اندازی شده است.
با افزایش توانایی هوش مصنوعی در کمک به مهاجمان سایبری برای شناسایی و سوءاستفاده از آسیب‌پذیری‌ها، خودکارسازی مراحل مختلف حملات و اجرای سریع‌تر آن‌ها در مقیاس گسترده، تقویت توان دفاعی در برابر این تهدیدها اهمیت بیشتری یافته است. این برنامه با هدف فراهم‌کردن ابزارهای مناسب به منظور مقابله با این تهدیدها برای کارشناسان امنیت سایبری، تسریع رفع آسیب‌پذیری‌ها و بررسی معماری‌ها و شیوه‌های کدنویسی جدید و امن راه‌اندازی شده است.
این شرکت پیش‌بینی می‌کند که طی دو سال آینده، هوش مصنوعی نقش پررنگ‌تری در تقویت امنیت سایبری ایفا کند. بر این اساس، شناسایی باگ‌ها پیش از انتشار نرم‌افزار آسان‌تر می‌شود، توسعه نرم‌افزارهای ایمن از همان مراحل اولیه امکان‌پذیرتر خواهد بود و استفاده از مدل‌های هوش مصنوعی برای دفاع فعال از سامانه‌ها آسان‌تر خواهد شد.
