Claude бесплатно проверяет код на уязвимости Anthropic запустила OSS Scanner

Компания Anthropic представила OSS Scanner — бесплатный сервис проверки открытого исходного кода на уязвимости с помощью искусственного интеллекта Claude. Инструмент анализирует программные проекты, обнаруживает потенциальные проблемы безопасности и отправляет сопровождающим отчёты с объяснением ошибки и предложением исправления.

Новый сервис предназначен для разработчиков и сопровождающих значимых open-source-проектов. Подключить его может не каждый желающий: Anthropic рассматривает заявки и оценивает соответствие проекта установленным критериям.

Главное отличие OSS Scanner от обычного ИИ-помощника для программиста — регулярный анализ исходного кода и подготовка отчётов об уязвимостях. Пользователю не нужно вручную копировать каждый файл в чат и просить нейросеть найти ошибки.

О запуске компания объявила 8 октября 2026 года. К 14 октября официальная страница программы уже содержит дополнительные пояснения об условиях участия и защите результатов сканирования. Документация была дополнена 13 октября.

Что известно об OSS Scanner

OSS Scanner — проект Anthropic, направленный на повышение безопасности программного обеспечения с открытым исходным кодом.

Параметр

Подробности

Название

OSS Scanner

Разработчик

Anthropic

Используемая технология

Передовые модели Claude

Дата анонса

8 октября 2026 года

Обновление документации

13 октября 2026 года

Основная задача

Поиск уязвимостей в исходном коде

Стоимость

Бесплатно для принятых участников

Кому доступен

Подходящим open-source-проектам после одобрения

Как подключить

Подать заявку через GitHub

Проверка отчётов человеком

Нет, для отчётов этой программы

Автоматическое исправление ошибок

Предлагается исправление, но его должен проверить разработчик

Сервис работает по модели добровольного подключения — opt-in.

Это означает, что сопровождающие проекта самостоятельно выражают согласие получать результаты автоматического анализа.

Anthropic не обещает предоставить всем владельцам сайтов, разработчикам и компаниям неограниченный бесплатный аудит любого репозитория.

Как работает бесплатный сканер кода Claude

В обычном сценарии разработчик обнаруживает ошибку, изучает проблемный участок программы и ищет способ исправления.

OSS Scanner предлагает другой подход.

Система анализирует подключённый проект и пытается обнаружить участки, в которых поведение программы может нарушать требования безопасности.

Если модель находит подозрительную проблему, формируется отчёт.

По заявлению Anthropic, он может включать описание уязвимости, воспроизводящий пример и предлагаемый вариант исправления.

Что получает разработчик

Отчёт рассчитан на технического специалиста, которому необходимо понять суть найденной проблемы.

В нём должны быть сведения, помогающие установить, где возникает ошибка, насколько она существенна и каким образом её можно исправить.

Например, в веб-приложении потенциальная проблема может быть связана с недостаточной проверкой пользовательских данных.

Но наличие отчёта не означает, что ошибка действительно существует или что предложенное исправление безопасно.

Разработчик должен проверить находку в контексте своего проекта.

Почему проверки выполняются регулярно

У программных проектов постоянно появляются новые версии, функции и зависимости.

Даже если предыдущий аудит не выявил критических ошибок, дальнейшие изменения могут создать новые проблемы.

Поэтому Anthropic предлагает участникам периодическое сканирование.

В отличие от разовой проверки, такой подход помогает отслеживать новые потенциальные уязвимости по мере развития программного обеспечения.

Периодичность и охват зависят от правил программы и технических возможностей Anthropic.

Насколько точно Claude находит уязвимости

Anthropic опубликовала результаты предварительной экспертной проверки OSS Scanner.

Для исследования специалисты выбрали 97 находок высокой и критической серьёзности в 48 программных проектах.

Эксперты оценили результаты с точки зрения критериев координированного раскрытия уязвимостей, которые использует компания.

85 находок из 97 соответствовали установленным критериям.

Это примерно 88% проверенной выборки.

Из 12 остальных сообщений 11 касались реальных проблем, но дублировали уже известные ошибки или другие находки. Одна находка оказалась недействительной.

Результат проверки

Количество

Проверено находок

97

Соответствовали критериям

85

Реальные, но дублирующие находки

11

Недействительные находки

1

Проектов в проверке

48

Можно ли считать, что Claude находит 88% всех уязвимостей

Нет.

Здесь важно различать две характеристики.

Точность подтверждения находок показывает, насколько часто сообщения сканера оказываются полезными и обоснованными в проверенной выборке.

Полнота обнаружения показывает, какую долю всех существующих уязвимостей смог найти инструмент.

По опубликованным результатам нельзя определить, сколько ошибок осталось незамеченными.

Кроме того, исследовалась выборка находок высокой и критической серьёзности, а не все результаты сканирования.

Поэтому число 88% нельзя переносить на любой репозиторий или использовать как показатель вероятности обнаружения каждой ошибки.

Anthropic отдельно предупреждает, что некоторые отчёты могут содержать неточности, в том числе завышенную оценку серьёзности.

Почему Anthropic решила сделать OSS Scanner бесплатным

Большинство современных программ использует библиотеки, фреймворки и другие компоненты с открытым исходным кодом.

Многие популярные проекты поддерживают небольшие команды разработчиков или отдельные добровольцы.

При этом уязвимость в широко используемой библиотеке потенциально затрагивает большое количество приложений.

Ручной аудит требует времени и квалифицированных специалистов.

Создавая OSS Scanner, Anthropic стремится предоставить поддерживающим такие проекты дополнительные ресурсы для поиска ошибок.

Компания заявляет, что покрывает стоимость вычислений в рамках программы.

Это не означает бесплатный доступ к любым возможностям Claude API.

OSS Scanner — отдельный сервис с собственными условиями участия.

Почему сканер отправляет отчёты без ручной проверки Anthropic

Обычно обнаруженная уязвимость проходит несколько этапов оценки.

Нужно подтвердить наличие ошибки, определить её последствия и подготовить информацию, необходимую сопровождающим проекта.

Такой процесс помогает снизить количество ложных сообщений, но занимает время.

В OSS Scanner выбран другой вариант.

Согласившиеся участвовать проекты получают результаты непосредственно от автоматизированной системы.

Это позволяет отправлять находки быстрее.

Однако возникает дополнительная нагрузка на сопровождающих: им необходимо самостоятельно оценивать сообщения.

Что делать, если нейросеть ошиблась

Допустим, сканер сообщает, что в определённом участке приложения существует проблема проверки прав доступа.

Разработчику необходимо выяснить, действительно ли этот код доступен атакующему и какие ограничения действуют в системе.

Ошибка может оказаться ложной тревогой.

Возможна и другая ситуация: сама ошибка существует, но её влияние значительно меньше, чем предполагает модель.

Поэтому отчёт ИИ следует рассматривать как материал для проверки, а не окончательный технический вердикт.

Как получить бесплатный доступ к OSS Scanner

Anthropic опубликовала официальный порядок подключения подходящих проектов.

Страница программы: https://red.anthropic.com/oss-scanner/

Сервис ориентирован на сопровождающих проектов с открытым исходным кодом, имеющих существенное значение для инфраструктуры и безопасности пользователей.

Шаг 1. Проверьте, подходит ли проект

Anthropic использует критерии, похожие на правила отбора Google OSS-Fuzz.

Предпочтение отдаётся программным проектам, безопасность которых имеет значение для большого количества пользователей и систем.

Компания рассматривает заявки индивидуально.

Небольшой личный репозиторий не получает автоматического права на бесплатное сканирование.

Шаг 2. Откройте официальный репозиторий программы

На странице OSS Scanner размещены инструкции по подключению и ссылка на GitHub.

Участникам предлагается внести свой проект в установленном формате.

Шаг 3. Подготовьте заявку

Основному сопровождающему необходимо выполнить требования, перечисленные в документации.

Для включения проекта используется pull request — предложение изменения в репозитории программы.

Следуйте актуальному шаблону заявки, а не произвольной форме обращения.

Шаг 4. Дождитесь решения Anthropic

Подача заявки не гарантирует принятия.

После рассмотрения компания определяет возможность участия проекта.

Шаг 5. Проверяйте поступающие отчёты

После подключения проект сможет получать результаты сканирования в соответствии с правилами программы.

Сопровождающим потребуется оценивать находки, расставлять приоритеты и проверять предлагаемые изменения.

Важно: исправление уязвимости должно проходить обычный процесс разработки, включая тестирование и проверку изменений.

Можно ли проверить свой сайт через OSS Scanner

Здесь необходимо различать сайт и программный проект.

Например, владелец интернет-магазина может использовать CMS, готовые плагины и собственные шаблоны.

У него могут быть ошибки конфигурации сервера, небезопасные настройки доступа и устаревшие компоненты.

OSS Scanner не является универсальным веб-сервисом, куда достаточно вставить адрес сайта и получить полный отчёт по безопасности.

Его основная задача — анализ кода подходящих open-source-проектов, одобренных Anthropic.

Поэтому обычному владельцу сайта не стоит рассчитывать, что новый сервис автоматически бесплатно проверит весь сайт.

Для практического аудита по-прежнему необходимы проверки обновлений, прав доступа, конфигураций сервера и внешних компонентов.

Чем OSS Scanner отличается от обычной проверки кода через Claude

Разработчик может использовать ИИ-помощника для анализа фрагментов кода.

Например, попросить объяснить функцию или найти логическую ошибку.

Однако полноценная проверка безопасности отличается от такого запроса.

Критерий

Обычный чат с ИИ

Anthropic OSS Scanner

Анализ

По запросу пользователя

Автоматизированное сканирование

Объект проверки

Переданные файлы и контекст

Подключённый открытый проект

Повторные проверки

Нужно организовать отдельно

Предусмотрены периодические сканирования

Отчёты

Формируются по запросу

Специализированные отчёты об уязвимостях

Стоимость

По тарифу выбранной модели

Бесплатно для принятых проектов

Доступность

По условиям чат-сервиса

После одобрения участия

Проверка человеком

Необходима

Необходима

У каждого подхода своё назначение.

Обычный ИИ-чат удобен для объяснения кода и предварительного анализа.

OSS Scanner предназначен для более системной работы с безопасностью значимых открытых проектов.

Чем OSS Scanner отличается от Claude Security

Anthropic отдельно разграничивает новый бесплатный сервис и коммерческий продукт Claude Security.

Claude Security ориентирован на организации, которым необходимо искать и исправлять уязвимости внутри собственного жизненного цикла разработки.

OSS Scanner создавался прежде всего как поддержка сопровождающих открытого программного обеспечения.

Компания подчёркивает, что покрывает расходы на работу сканера для одобренных участников.

Кроме того, в рамках OSS Scanner используются разные способы анализа кода, в том числе более ресурсоёмкие экспериментальные подходы.

Следовательно, нельзя утверждать, что Anthropic просто сделала свой коммерческий инструмент безопасности полностью бесплатным для всех.

Как Anthropic защищает сведения о найденных уязвимостях

Результаты поиска ошибок безопасности могут содержать конфиденциальную информацию.

Если техническое описание серьёзной уязвимости становится публичным до исправления, это создаёт дополнительный риск.

Anthropic сообщает, что использует изолированную облачную среду для хранения результатов.

Доступ к ней ограничен уполномоченными сотрудниками компании.

Кроме того, агенты сканирования работают в защищённых средах с отключённым доступом в интернет.

Перед публикацией информации об обнаруженной ошибке сопровождающим следует придерживаться согласованной процедуры раскрытия уязвимостей.

Нельзя автоматически публиковать в открытом доступе все найденные системой отчёты.

Что делать владельцу сайта уже сейчас

Даже если ваш проект не подходит для OSS Scanner, основные меры защиты остаются доступными.

Обновите CMS и зависимости

Проверяйте используемую версию системы управления сайтом, плагины, серверные библиотеки и установленные пакеты.

Неиспользуемые компоненты лучше удалить.

Проверьте права доступа

Административные панели, серверные ключи и базы данных не должны быть доступны посторонним.

Для учётных записей с расширенными правами полезна многофакторная аутентификация.

Уберите секреты из исходного кода

Пароли, токены доступа и закрытые ключи не должны попадать в публичные репозитории.

При обнаружении опубликованного секрета его необходимо отозвать или заменить.

Настройте резервное копирование

Резервные копии помогают восстанавливать работу после технических ошибок и инцидентов.

Но наличие копии не защищает от эксплуатации уязвимости.

Проверяйте исправления ИИ

Если нейросеть предложила изменить код, проверьте, не нарушит ли исправление авторизацию, обработку пользовательских данных или другие функции приложения.

Безопасное исправление должно устранять проблему, не создавая новых.

Почему бесплатный сканер Claude важен для разработчиков

OSS Scanner показывает изменение роли нейросетей в программировании.

Раньше ИИ-помощники преимущественно дополняли код, объясняли ошибки и помогали писать тесты.

Теперь разработчики всё активнее применяют модели для систематического анализа сложных программных проектов.

Это особенно важно для открытых библиотек, от которых зависит большое количество коммерческого программного обеспечения.

При этом автоматический поиск уязвимостей создаёт новую проблему: потенциальных находок может оказаться больше, чем сопровождающие способны качественно обработать.

Поэтому ценность технологии определяется не количеством сообщений об ошибках, а тем, насколько быстро удаётся подтвердить и безопасно исправить реальные проблемы.

Частые вопросы

Что такое Anthropic OSS Scanner?

Это сервис автоматизированной проверки открытого исходного кода на уязвимости с использованием передовых моделей Claude.

OSS Scanner действительно бесплатный?

Да, Anthropic заявляет бесплатное сканирование для проектов, которые приняты в программу. Сервис недоступен автоматически любому желающему.

Можно ли бесплатно проверить свой сайт?

OSS Scanner не предназначен для обычной проверки сайта по URL. Для участия требуется подходящий open-source-проект и одобрение Anthropic.

Как подключить OSS Scanner?

Основному сопровождающему проекта необходимо изучить официальный порядок регистрации и отправить pull request по установленному шаблону.

Насколько точно Claude обнаруживает уязвимости?

В опубликованной выборке 85 из 97 находок высокой и критической серьёзности соответствовали критериям раскрытия Anthropic. Эта цифра не показывает полноту поиска всех возможных ошибок.

Может ли Claude самостоятельно исправить уязвимость?

OSS Scanner предлагает исправления, когда они доступны. Но изменения необходимо проверять и внедрять с участием разработчиков.

Какие языки программирования поддерживаются?

В рассмотренных официальных материалах Anthropic не приводит универсальный подтверждённый перечень языков, для которых гарантировано одинаковое качество сканирования. Поддержку конкретного проекта следует уточнять при подключении.

Нужна ли подписка Claude Max?

Для участия в OSS Scanner платная подписка Claude Max не заявлена как обязательное условие. Дополнительно Anthropic предлагает отдельную программу Claude for Open Source с бесплатными подписками для подходящих сопровождающих.

Когда запустили OSS Scanner?

Официальный анонс состоялся 8 октября 2026 года. Документацию программы дополнили 13 октября.

Заменит ли ИИ специалистов по безопасности?

Нет. Автоматизированный анализ помогает обнаруживать подозрительные участки кода, но проверка, оценка последствий и безопасное внедрение исправлений остаются задачами специалистов.

Итог

Anthropic запустила OSS Scanner — бесплатную программу регулярного поиска уязвимостей в значимых open-source-проектах с помощью Claude.

Наиболее интересная часть анонса — результаты экспертной проверки: 85 из 97 выбранных находок соответствовали критериям компании, ещё 11 были реальными, но дублирующимися, и одна оказалась недействительной.

Эти данные показывают потенциал использования ИИ при анализе безопасности программного обеспечения. Однако они не доказывают, что Claude обнаруживает все уязвимости или может полностью заменить независимый аудит.

Для сопровождающих открытых проектов новый инструмент может стать дополнительным способом выявлять ошибки раньше.

Для обычных владельцев сайтов принципиально важно другое: бесплатный OSS Scanner не является универсальной заменой проверке безопасности сайта. Защита по-прежнему требует обновлений, контроля доступа, тестирования и внимательной работы с найденными проблемами.

Официальные источники

1. Anthropic — Launching an opt-in vulnerability-finding service for open-source software, 8 октября 2026 года.

2. Anthropic — Introducing the Anthropic Cyber Mission, 8 октября 2026 года.

3. OSS Scanner — официальный сайт и инструкция по подключению, дополнения от 13 октября 2026 года.

4. OSS Scanner — условия участия.

*Материал подготовлен 14 октября 2026 года на основании официальных публикаций Anthropic. Описанные результаты исследований принадлежат разработчику. AI News Lab не проводила самостоятельного сканирования проектов через OSS Scanner.*