OSS Scanner от Anthropic

источник ↗ ·

Сервис Anthropic для сканирования критически важных open-source репозиториев на уязвимости безопасности с автоматической генерацией отчётов и патчей.

security-scanner open-source anthropic vulnerability-detection docker-build security-audit claude-code oss-security

privacy

Эта заметка участвует в semantic memory.

AI Summary

  1. Короткий обзор сути: OSS Scanner — это сервис Anthropic, который автоматически сканирует критически важные open-source проекты на уязвимости безопасности. Сканирование происходит в изолированной VM без доступа к интернету, результаты отправляются по email с репродукторами и предложенными патчами.

🔑 Ключевые факты: Для подключения проекта нужно создать PR с директорией projects/, содержащей project.yaml, Dockerfile и опционально threat_model.md. Обязательные поля: repo и primary_contact. Сканирование выполняется без 90-дневного периода раскрытия, отчёты генерируются моделями без человеческого ревью.

📌 Важные детали: Dockerfile должен устанавливать все зависимости и собирать проект с сетью, сканирование происходит без сети. Можно настроить PGP-шифрование отчётов. Есть инструменты валидации: tools/validate.py и tools/check. threat_model.md позволяет задать критерии оценки уязвимостей. Репозиторий активно поддерживается Anthropic, но принимаются только PR на подключение проектов.

💡 Вывод и значение: Перед PR запустить tools/validate.py и tools/check для проверки сборки. Для отключения проекта можно установить disabled: true или удалить директорию. При использовании tools/check учитывать риски безопасности — запускать только для доверенных проектов.

Мои мысли

graph

Карта связей