OSS Scanner by Anthropic

概要

• Anthropicの高性能AIモデルでOSSのコードを定期監査し、脆弱性の発見から再現確認までを支援する無料サービスです。
• Google OSS-Fuzzに着想を得た仕組みで、ファザーではなくAIモデルを活用してセキュリティ上の問題を検出します。

主な特徴

• 各レポートには自己完結した再現手順、脆弱性の説明、可能な場合は問題が導入された時期や修正パッチ候補が含まれます。
• プルリクエストで参加登録でき、対象プロジェクトは無料で利用できます。スキャンの一時停止や登録解除も任意のタイミングで行えます。
• スキャンはインターネット接続を無効化したサンドボックス内で実行されますが、レポートは人手による事前確認を経ないため誤検知に注意が必要です。

こんな人におすすめ

• インフラやユーザーの安全性に大きな影響を与えるオープンソースプロジェクトの主要メンテナーに適しています。
• セキュリティ監査に割ける専門知識や時間が限られていて、継続的な脆弱性チェックを導入したいチームに向いています。
• 検出結果を人手で検証し、AIによる深刻度評価や脅威モデルの解釈をそのまま採用せず確認できるプロジェクトに適しています。