На 13 октомври Anthropic допълни обясненията за допустимост и получатели на OSS Scanner — доброволна услуга за сканиране на проекти с отворен код. Самата услуга е пусната на 8 октомври. Важната разлика е, че бързите доклади идват от моделите без предварителната човешка проверка на обичайния координиран процес.

Какво означава бързият маршрут

В първоначалното съобщение Anthropic посочва около 29 000 кандидати за уязвимости и приблизително 6 000 ръчно прегледани доклада за предходния период. Кандидатите не са равни на потвърдени уязвимости. Компанията казва, че докладите могат да съдържат възпроизвеждане, обяснение и предложена поправка, но допуска грешки и завишена тежест.

Нашият прочит е, че автоматизацията променя местоположението на проверката. Поддържащият екип получава по-ранен сигнал, но трябва да реши дали той е реален, относим и нов. Това може да бъде полезно за проект с достатъчно капацитет за реакция. За малък претоварен екип количеството само по себе си не е полезна мярка за защита.

Кой получава чувствителния доклад

Правилата описват проверка на поддържащия екип, контакта и обхвата преди изпращане. Сканирането е офлайн. Това са контроли, описани от оператора; няма независим одит.

Официалното хранилище съдържа конфигурацията за включване: адрес на проекта, основен контакт и подготовка на средата. Допълнителният модел на заплахите може да описва допустимия обхват. Регистрацията не е разрешение за изследване на чужди системи и тази статия не публикува практически атаки или непублични находки.

Как да се прецени един доклад

Предлагаме защитен процес в отделна тестова среда с разрешен от проекта код. Първо се установява засегнатата версия и дали описаният път действително е достъпен при поддържаната конфигурация. След това се проверява дали случаят вече е известен. Едва тогава се оценяват приоритетът и предложената промяна.

Например сигналът може да описва операция, която действителните разрешения не позволяват на непознат потребител. Това е наш хипотетичен пример защо контекстът има значение. Обратното също е възможно: кратко описание може да пропусне важна последица. И в двата случая отговорът е проверка, а не автоматично приемане или отхвърляне заради AI произхода.

Непроверените находки нямат наложен 90-дневен срок за разкриване. След човешко потвърждение се прилага отделният координиран процес. Затова автоматичното съобщение не трябва да се представя като официално установена уязвимост.

Какво да се измерва

Нашият предложен журнал отделя получени, възпроизведени, дублирани, отхвърлени и поправени случаи. Времето до годна поправка е по-полезно от броя изпратени писма. След поправката се проверява и нормалната функционалност, за да не остане проектът с друга грешка вследствие на прибързана промяна.

Новото уточнение прави отговорността и маршрута по-ясни. То не доказва универсална точност на скенера. SIExpo потвърди публичните правила и историята им; не е използвал услугата, не е проверявал чужди уязвимости и не представя фирмените резултати като собствен одит.

Смисленият преглед би запазвал и причината за приемане или отхвърляне на случая. Тя помага при следващи доклади за същия код и намалява повтарянето на работа. Записът трябва да пази достатъчно доказателства за разрешения екип, без чувствителните подробности да стават неограничено публични.

Източниците са прочетени на 14 октомври 2026 г. между 09:25 и 09:35 ч. по Europe/Sofia. Оценките и примерните проверки са редакционен анализ; SIExpo не е провеждал собствен тест на продукта. Корицата е AI илюстрация, а не снимка на действително събитие.