Anthropic, 8 Ekim 2026’da açık kaynak yazılımlar için OSS Scanner adlı yeni bir güvenlik hizmetini duyurdu. Şirketin Frontier Red Team ekibinin yazısına göre hizmete katılmayı seçen projeler, Anthropic’in en güçlü modelleriyle düzenli ve kapsamlı güvenlik taramasından ücretsiz yararlanacak. Taramalarda Claude Mythos da dahil olmak üzere şirketin en yetenekli modellerinin kullanılacağı belirtiliyor.
Hizmetin en tartışmaya açık yanı, raporların insan incelemesinden geçmeden gönderilecek olması. Anthropic bunu açıkça yazıyor: Çıktılar tamamen model tarafından üretilecek, ön eleme yapılmayacak. Bu sayede taramalar daha hızlı ve sık yapılabilecek, ancak bazı raporların hatalı ya da geçersiz olma ihtimali bulunuyor.
Neden şimdi?
Anthropic, dil modellerinin güvenlik açığı bulmada hızla geliştiğini savunuyor. Şirketin aktardığı verilere göre akademik kıyaslama testlerinden CyberGym’de modeller geçen yılın başında açıkların yüzde 20’sinden azını bulurken bu yıl yüzde 85’ten fazlasını bulabiliyor. Anthropic, son altı ayda dünyanın en önemli yazılım projelerinde 29 binden fazla aday açık tespit ettiğini, ancak bunların yalnızca yaklaşık 6 binini elle inceleyebildiğini söylüyor.
Darboğaz, bulguları doğrulayacak insan kapasitesi. Şirkete göre ilk raporları alan bazı proje sorumluları, doğrulanmamış olanlar dahil tüm raporların toplu gönderilmesini istedi; bu yolla bugüne kadar yaklaşık 5 bin rapor doğrudan proje ekiplerine iletildi. Anthropic, saldırganların da aynı açıkları hızla aradığı bir ortamda açıkları erken öğrenmenin projelere avantaj sağlayacağını savunuyor. İnsan tarafından doğrulanmış raporlar ise mevcut koordineli açıklama sürecinden gönderilmeye devam edecek.
Raporlarda neler var?
Anthropic’in açıklamasına göre her raporda şu bilgiler bulunuyor:
- Yeniden üretim adımları: Açığın kendi başına çalıştırılabilen bir örnekle gösterilmesi.
- Açıklama: Açığın ne olduğu ve mümkünse hatanın koda hangi değişiklikle girdiği.
- Aday yama: Mümkün olduğunda hatanın nasıl düzeltilebileceğini gösteren öneri.
Şirket, sistemi son haftalarda onlarca açık kaynak projesiyle denediğini, bu ilk denemelerde yüzlerce hata raporu üretildiğini ve bazı açıkların birleştirilerek kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma saldırılarına dönüştürülebildiğini belirtiyor. Erken bir sürümün doğrulamasında uzman sızma testçileri 48 projeden gelen 97 kritik ve yüksek önemdeki bulguyu inceledi. Bunların 85’i, yani yüzde 88’i şirketin açıklama sürecine girecek düzeyde bulundu. Kalan 12 bulgunun 11’i gerçek ama daha önce bilinen ya da tekrar eden sorunlardı; yalnızca biri yanlış alarm çıktı. Anthropic, bazı proje sorumlularının önem derecelerinin abartılabildiğini ya da tarayıcının projenin tehdit modelini yanlış anladığını söylediğini de not ediyor.
Şirketin paylaştığı geri bildirimler arasında PostgreSQL, OpenSSL, wolfSSL ve curl ekiplerinin yorumları var. wolfSSL’den yapılan açıklamaya göre ekibe ulaşan 74 raporun ikisi dışında hepsi geçerliydi ve beşi CVE kaydına dönüştü. curl projesinden Daniel Stenberg ise taramanın, son yıllarda curl’de bildirilen en kötü açıklardan biri dahil birden fazla sorunu bulmaya yardım ettiğini söyledi.
Kimler başvurabilir?
Hizmet, Google’ın açık kaynak yazılımları otomatik testlerle tarayan OSS-Fuzz projesinden esinleniyor ve benzer kriterler kullanıyor: Altyapı ve kullanıcı güvenliği üzerinde kritik etkisi olan yerleşik projeler, vaka bazında değerlendirilecek. Projenin çekirdek geliştiricileri, Anthropic’in GitHub’daki OSS Scanner deposuna proje ayarlarını içeren bir katkı isteği göndererek başvurabiliyor. Taramayı yapan ajan, projenin hazırladığı bir kapsayıcı ortamda internet bağlantısı olmadan çalışıyor; projeler isterse kendi tehdit modellerini ve önem derecesi ölçütlerini tarif eden bir dosya ekleyebiliyor.
Anthropic, hizmetin zaten doğrulanmış kritik raporlara yetişebilen projeler için tasarlandığını, çok sayıda rapordan bunalan projelere uygun olmayabileceğini kabul ediyor. The Verge de bazı açık kaynak ekiplerinin son aylarda yapay zeka üretimi hata raporlarının yoğunluğuna yetişmekte zorlandığını hatırlatıyor. Türkiye’de geliştirilen pek çok yazılım da bu temel kütüphanelere dayandığı için, açıkların daha hızlı kapatılması dolaylı olarak buradaki kullanıcıları da ilgilendiriyor.
Kaynak: Anthropic, The Verge
