شرکت آنتروپیک (Anthropic)، پیشگام در حوزه مدل‌های زبانی بزرگ، در اقدامی استراتژیک برای تقویت امنیت زنجیره تأمین نرم‌افزار، سرویس جدیدی با نام OSS Scanner را برای پروژه‌های متن‌باز (Open Source) معرفی کرد. این ابتکار با هدف شناسایی خودکار حفره‌های امنیتی در کدهای منبع با بهره‌گیری از قدرتمندترین مدل‌های هوش مصنوعی این شرکت و به‌صورت رایگان طراحی شده است.
نگاهی به عملکرد OSS Scanner در کشف آسیب‌پذیری‌ها
ابزار OSS Scanner آنتروپیک به عنوان یک پلتفرم هوشمند برای اسکن دوره‌ای و عمیق مخازن کد متن‌باز عمل می‌کند. برخلاف ابزارهای سنتی اسکن امنیت که اغلب بر پایه تطبیق الگوهای شناخته شده (Pattern Matching) کار می‌کنند، این سرویس از قدرت استنتاج و تحلیل ساختاری مدل‌های پیشرفته هوش مصنوعی آنتروپیک بهره می‌برد تا الگوهای پیچیده‌تر و باگ‌های منطقی را که ممکن است از دید اسکنرهای معمولی پنهان بماند، شناسایی کند. پروژه‌هایی که در این طرح ثبت‌نام می‌کنند، به صورت مستمر و خودکار تحت نظارت هوش مصنوعی قرار می‌گیرند تا نرخ شناسایی آسیب‌پذیری‌های احتمالی به حداقل زمان ممکن برسد.
تریدآف میان سرعت پردازش و دقت انسانی
یکی از نکات کلیدی در معماری این سرویس، نحوه ارائه گزارش‌هاست. آنتروپیک به‌صراحت اعلام کرده است که خروجی‌های این ابزار به‌طور کامل توسط مدل‌های هوش مصنوعی تولید می‌شود و هیچ فرآیند بازبینی یا تریاژ (Triage) انسانی روی نتایج انجام نمی‌گیرد. این رویکرد دو پیامد مهم دارد: از یک سو، سرعت تحلیل به شدت افزایش یافته و امکان اسکن مکرر و گسترده برای حجم عظیمی از کدها فراهم می‌شود؛ از سوی دیگر، این مدل مستعد ایجاد گزارش‌های مثبت کاذب (False Positives) یا حتی نتایج نامعتبر است. توسعه‌دهندگان باید با دید انتقادی به گزارش‌های تولید شده نگاه کنند و پیش از اعمال هرگونه اصلاح امنیتی، بررسی‌های لازم را شخصاً انجام دهند.
اهمیت امنیت در زنجیره تأمین متن‌باز (OSS)
پروژه‌های متن‌باز ستون فقرات زیرساخت‌های مدرن فناوری را تشکیل می‌دهند. با این حال، حملات زنجیره تأمین و تزریق کدهای مخرب به کتابخانه‌های پرکاربرد، به چالشی اساسی تبدیل شده است. ورود شرکت‌هایی نظیر آنتروپیک به این عرصه نشان‌دهنده درک ضرورت بهره‌گیری از هوش مصنوعی برای مدیریت مقیاس‌پذیر امنیت است. ابزارهایی مانند OSS Scanner می‌توانند در کنار ابزارهای تحلیل ایستای کد (SAST) و تحلیل پویای کد (DAST) لایه‌ای جدید از امنیت را برای توسعه‌دهندگان فراهم کنند.
ویژگی‌های فنی و ماهیت سرویس
- نوع سرویس: اسکنر امنیتی مبتنی بر مدل‌های زبانی (LLM-based)
- هدف: شناسایی آسیب‌پذیری‌های منطقی و باگ‌های امنیتی در کدهای متن‌باز
- مدل بررسی: تمام خودکار (فاقد بازبینی انسانی در مرحله خروجی)
- دسترسی: رایگان برای پروژه‌های متن‌باز تایید شده
- نکته فنی: احتمال وجود گزارش‌های مثبت کاذب به دلیل عدم تایید انسانی
نتیجه‌گیری و آینده‌نگری
ارائه OSS Scanner توسط آنتروپیک در پاییز ۱۴۰۳ (۲۰۲۴ میلادی)، گامی مثبت در راستای ایمن‌سازی نرم‌افزارهای متن‌باز است. با این وجود، به کاربران توصیه می‌شود که از این ابزار به عنوان مکمل ابزارهای امنیتی فعلی خود استفاده کنند، نه به عنوان تنها منبع تصمیم‌گیری. بهره‌گیری از هوش مصنوعی در تحلیل کد، آینده درخشانی دارد اما همچنان نظارت انسانی بر تصمیماتِ حساس امنیتی، اجتناب‌ناپذیر باقی می‌ماند.
