A社推出免费的开源项目扫描器为符合条件的开源项目免费提供定期漏洞扫描

A 社日前宣布面向开源项目推出 OSS Scanner 计划，为符合条件的开源项目提供免费的、定期漏洞扫描支持。这项计划将使用 A 社先进模型例如 Claude Mythos 等帮助开源项目扫描漏洞，当发现漏洞时 A 社会将漏洞报告和可用的候选修复方案发送给开发者。

开发者需向 A 社提交申请：

该服务采取自愿的方式，项目核心维护者需要通过 A 社的 GitHub 仓库提交申请，项目需要对基础设施或用户安全具有重要影响，提交申请后 A 社工程师会评估项目是否符合要求，如符合要求会通知开发者进行后续准备工作。

项目获准后 A 社会按计划使用先进模型对开源项目的代码进行扫描和审计，无论是否发现漏洞 A 社都会向开发者发送扫描报告。如果发现问题，则扫描报告中会包含详细的漏洞说明、复现材料以及在可用时提供候选修复方案。

整个过程自动化，不会经过人工审核：

与 A 社现有的协调漏洞披露流程不同，OSS Scanner 计划的报告都是人工智能模型直接生成的，即从扫描到制作分析报告和提供漏洞修复方案，整个过程都不会经过任何人工审核和确认。

A 社称这种方式可以更快和更频繁地向维护者提供漏洞情况，但模型生成的报告仍然可能包含错误，严重性评级也可能偏高，或者未能准确理解项目的威胁模型等等，所以最终还需要项目开发者自行评估漏洞。

早期测试显示漏洞准确性还是挺高的：

在早期测试中，A 社邀请渗透领域的安全研究员评估来自 48 个项目的 97 项高危及严重漏洞报告，其中 85 项 (占比 88%) 达到协调漏洞披露流程的标准。

其余 12 项中有 11 项是真实问题，但与已知漏洞或扫描中发现的其他问题重复。另有 1 项漏洞发现被判定为无效，上述结果来自 A 社公布的测试样本，不意味着后续所有报告都与测试报告有同等验证效果。

另外未经人工确认的报告不会被公开，也不适用于强制的 90 天披露期限。对于重大项目的安全问题，若漏洞经过 A 社人工审核，那 A 社会按照现有流程进行披露。

更多相关技术内容咨询欢迎前往并持续关注好学星城论坛了解详情。

想高效系统的学习Python编程语言，推荐大家关注一个微信公众号：Python编程学习圈。每天分享行业资讯、技术干货供大家阅读，关注即可免费领取整套Python入门到进阶的学习资料以及教程，感兴趣的小伙伴赶紧行动起来吧。

0 条评论