Anthropic lader Claude lede efter sikkerhedshuller i open source

Hvad er nyt

Anthropic har lanceret OSS Scanner, en tjeneste der bruger Claude til at lede efter sikkerhedssårbarheder i open source-projekter. Open source er programmer, hvor koden er åben for alle, og som mange virksomheder og offentlige systemer bygger videre på. Tjenesten er gratis for de projekter, der deltager, og den er underlagt særlige vilkår for OSS Scanner.

Det er en tilmeldingstjeneste: projekterne skal selv melde sig til. Det gør vedligeholderne ved at åbne en pull request (et forslag til ændring) i Anthropics GitHub-repositorium. Her tilføjer de en mappe med en konfigurationsfil, en Dockerfile og eventuelt en beskrivelse af projektets trusselsbillede. Ifølge ProPakistani drives tjenesten af Claude Mythos, som mediet kalder Anthropics stærkeste model. Det fremgår dog ikke tydeligt af kilderne, hvordan modellen formelt er knyttet til tjenesten.

Ifølge Cyber Security News bygger OSS Scanner videre på Project Glasswing. Anthropic havde i oktober 2026 gennemgået over 6.000 sårbarhedsrapporter i sin eksisterende proces med koordineret offentliggørelse.

Hvad er smart

Scanneren bygger først projektet i en isoleret virtuel maskine med netadgang, så alle de dele, projektet bruger, kan hentes. Bagefter analyseres koden i et miljø helt uden internet. Derfor skal alle afhængigheder ligge klar i Dockerfilen.

Når der er fundet noget, sendes det som e-mail til projektets primære kontakt. Mailen indeholder trin til at gengive fejlen og, hvor det er muligt, et foreslået patch, altså en rettelse. Rapporter kan krypteres med en PGP-nøgle, hvis vedligeholderen angiver en. Fundene offentliggøres ikke, og der gælder ingen 90-dages frist for offentliggørelse. Ifølge ProPakistani får projekterne periodiske, grundige scanninger, og Cyber Security News skriver, at hyppigheden afhænger af efterspørgsel og projektets brug.

Der er også valideringsværktøjer, som vedligeholderne kan køre, før de sender deres tilmelding.

Billigere eller bedre?

Prisen er gratis for deltagende projekter, og andre priser er ikke oplyst. Det fremgår ikke af kilderne, om tjenesten er tilgængelig særskilt i Danmark eller EU, og der er ingen direkte sammenligning med konkurrerende værktøjer.

Der er vigtige forbehold. Rapporterne er AI-genererede og ikke gennemgået af mennesker. Ifølge ProPakistani erkender Anthropic, at nogle fund kan være forkerte eller ugyldige, så udviklerne selv skal verificere dem. Det er relevant, fordi mange lavkvalitets AI-rapporter belaster vedligeholdere. Ifølge ProPakistani har Linus Torvalds kritiseret dårlige AI-genererede sikkerhedsrapporter, og Google har haft problemer med AI-genererede indsendelser i sine open source-sårbarhedsprogrammer. Samme medie nævner dog, at AI-fundne sårbarheder som »Copy Fail« i Linux-distributioner har vist, at AI kan være nyttig i sårbarhedsjagt.

Adgangen er desuden begrænset. Ifølge Cyber Security News kræver optagelse bred udbredelse, eksponering for fjernangreb og betydning for infrastruktursikkerhed, og Anthropic kontrollerer manuelt ansøgernes legitimation.

Det er den god til

Tjenesten er målrettet vedligeholdere af udbredte open source-projekter, som ofte er få frivillige med begrænset tid til at gennemgå koden grundigt. For dem kan en gratis og tilbagevendende scanning være en ekstra sikkerhedsvagt, især fordi den leverer gengivelsestrin og forslag til rettelser.

For almindelige brugere og virksomheder er den indirekte gevinst, at huller i software, de er afhængige af, kan blive fundet og lappet før angribere udnytter dem. Man skal ikke selv bruge tjenesten, men kan drage fordel af, hvis de programmer, man bruger, er tilmeldt.

Et praktisk råd fra Cyber Security News: De e-mailadresser, der står i konfigurationen, er offentlige, så projekter bør bruge sikkerhedsaliasser frem for personlige adresser.