สรุปสั้น

บริษัท Anthropic เปิดตัว OSS Scanner บริการสแกนช่องโหว่สำหรับโครงการโอเพนซอร์สแบบสมัครใจ โครงการที่เข้าร่วมจะได้รับการสแกนความปลอดภัยอย่างละเอียดเป็นระยะด้วยโมเดลที่แรงที่สุดของบริษัท รวมถึง Claude Mythos โดยไม่เสียค่าใช้จ่าย บริการนี้ต่อยอดจากประสบการณ์ที่ Anthropic ใช้ Claude ค้นหาช่องโหว่ในโครงการ Project Glasswing ซึ่งเว็บไซต์นี้รายงานไว้ในโพสต์ 2026/10/037 จุดที่ต่างจากโครงการค้นหาช่องโหว่ทั่วไปคือรายงานทั้งหมดสร้างโดยโมเดล ไม่ผ่านการตรวจหรือคัดกรองโดยมนุษย์ ทำให้สแกนได้เร็วและถี่ขึ้น

เพราะรายงานอาจมีผลบวกลวง Anthropic จึงไม่บังคับระยะเปิดเผยข้อมูล 90 วันกับผลที่ได้ จะเริ่มนับ 90 วันก็ต่อเมื่อมนุษย์ของ Anthropic ยืนยันรายงานนั้นผ่านโครงการ CVD ตามปกติ บริษัทระบุว่าที่ผ่านมาพบช่องโหว่ที่เป็นไปได้กว่า 29,000 รายการในซอฟต์แวร์สำคัญของโลก รายงานไปยังผู้ดูแลแล้วกว่า 6,000 รายการ และนำไปสู่ประกาศความปลอดภัย 584 ฉบับ ณ 2 ตุลาคม 2569 การเปิดตัวนี้มาพร้อม Critical Infrastructure Defense Program ภายใต้ภารกิจด้านไซเบอร์ของบริษัท

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่า Anthropic ประกาศ OSS Scanner เมื่อวันพฤหัสบดีที่ 8 ตุลาคม โดยระบุว่า “เป็นบริการแบบสมัครใจที่พัฒนาจากประสบการณ์ใช้ Claude ค้นหาช่องโหว่ใน Project Glasswing โครงการที่เข้าร่วมจะได้รับการสแกนความปลอดภัยอย่างละเอียดเป็นระยะด้วยโมเดลที่แรงที่สุดของเราโดยไม่มีค่าใช้จ่าย”

Anthropic คาดว่าจะใช้เกณฑ์คัดเลือกโครงการคล้ายกับ OSS-Fuzz ของ Google และอาจปรับเปลี่ยนตามเวลา ผู้ดูแลโครงการควรเขียนคำอธิบายสั้น ๆ ว่าโครงการสำคัญอย่างไรหากยังไม่ชัดเจนในตัว ณ เวลาที่รายงาน มี pull request ขอเข้าร่วมแล้ว 116 รายการ

เรื่องการเปิดเผย Anthropic เขียนว่า “หากภายหลังเรายืนยันรายงานใดด้วยมือผ่านโครงการ CVD ที่มีอยู่ เราอาจเปิดเผยตามนโยบาย CVD โดยเริ่มนับ 90 วันจากวันที่คุณได้รับแจ้งว่ามนุษย์ยืนยันรายงานนี้แล้ว” และ “เมื่อเรามั่นใจในประสิทธิภาพของ OSS Scanner มากขึ้น ในอนาคตเราอาจกำหนดระยะเปิดเผยกับรายงานช่องโหว่ความรุนแรงสูงบางรายการ” บริษัทยังคาดการณ์ว่า “ภายใน 2 ปี AI จะเอื้อฝ่ายป้องกัน จะจับบั๊กได้ง่ายขึ้นก่อนปล่อยใช้งาน เขียนซอฟต์แวร์ที่ปลอดภัยตั้งแต่ต้น และใช้โมเดลป้องกันระบบได้อย่างแข็งขัน”

วิธีการเข้าร่วม

ผู้ดูแลหลักของโครงการสมัครโดยเปิด pull request ไปยัง GitHub repository ของ OSS Scanner พร้อมไฟล์คอนฟิก YAML

ข้อมูลบังคับ/ไม่บังคับหมายเหตุ
ลิงก์ git repository ที่ให้ cloneบังคับ
อีเมลผู้ติดต่อหลักบังคับ
path ของ Dockerfile ใน repositoryบังคับต้องติดตั้ง dependency ทั้งหมดและ build โครงการได้ เพราะเอเจนต์ตรวจแบบไม่มีอินเทอร์เน็ต
อีเมลที่ CC ทุกรายงานไม่บังคับ
หน้าแรกของโครงการไม่บังคับ
GPG public keyไม่บังคับใช้เข้ารหัสอีเมลรายงาน
path ไฟล์ threat_model.mdไม่บังคับระบุโค้ดที่ต้องทดสอบ การจัดระดับช่องโหว่ หรือรูปแบบรายงาน
disabled: trueไม่บังคับเลือกไม่รับรายงานบั๊ก

Anthropic อธิบายว่า “Dockerfile กำหนดสภาพแวดล้อมที่โครงการจะทำงาน และติดตั้ง dependency ทั้งหมด เพื่อให้เอเจนต์ตรวจความปลอดภัยได้โดยไม่ต้องเชื่อมต่ออินเทอร์เน็ต” และแนะนำให้ตรวจว่าชุดทดสอบผ่านภายในคอนเทนเนอร์ที่ build แล้ว

ผลกระทบ

ตัวเลข 29,000 ช่องโหว่ที่เป็นไปได้เทียบกับ 6,000 รายการที่รายงานและ 584 ประกาศความปลอดภัย สะท้อนทั้งศักยภาพและข้อจำกัดของการค้นหาช่องโหว่ด้วย AI ในเวลาเดียวกัน โมเดลหาบั๊กได้ในปริมาณที่คนทำไม่ทัน แต่ผลลัพธ์ส่วนใหญ่ยังต้องคัดกรอง การให้บริการแบบไม่มีคนตรวจจึงย้ายภาระการคัดกรองไปที่ผู้ดูแลโครงการ ซึ่งหลายโครงการเป็นอาสาสมัครที่มีเวลาจำกัด Anthropic เลี่ยงแรงกดดันด้วยการไม่บังคับระยะเปิดเผย แต่ผู้ดูแลยังต้องตัดสินเองว่ารายงานไหนจริง

ในทางกลับกัน ฝ่ายโจมตีเข้าถึงเครื่องมือ AI ที่ค้นหาช่องโหว่ได้เช่นกัน ช่องโหว่ในโอเพนซอร์สที่ AI หาเจอได้ ผู้โจมตีก็อาจหาเจอได้ไม่ช้ากว่ากัน องค์กรที่พึ่งพาไลบรารีโอเพนซอร์สจึงควรเตรียมรับปริมาณแพตช์และประกาศความปลอดภัยที่จะเพิ่มขึ้นจากโครงการลักษณะนี้

คำแนะนำ

  • ผู้ดูแลโครงการโอเพนซอร์สที่สนใจ ให้เตรียม Dockerfile ที่ build และรันชุดทดสอบได้แบบออฟไลน์ และเขียน threat_model.md กำหนดขอบเขตเพื่อลดรายงานที่ไม่เกี่ยวข้อง
  • ใส่ GPG public key เพื่อให้รายงานช่องโหว่ถูกเข้ารหัส และกำหนดผู้รับผิดชอบคัดกรองรายงานที่เข้ามา
  • ถือว่ารายงานที่สร้างโดย AI เป็นข้อมูลตั้งต้น ต้องทำซ้ำและยืนยันก่อนออกแพตช์หรือประกาศ
  • องค์กรที่ใช้โอเพนซอร์ส ให้ทำ SBOM และระบบติดตามประกาศความปลอดภัยของ dependency เพื่อรับมือแพตช์ที่จะออกถี่ขึ้น

แหล่งอ้างอิง