Panduan Anthropic OSS Scanner
Pemindaian gratis bagi pengelola proyek sumber terbuka yang siap menangani temuan.
Anthropic OSS Scanner adalah layanan pemindaian kerentanan gratis yang dapat diikuti melalui pendaftaran oleh proyek sumber terbuka yang memenuhi syarat. Diumumkan pada 8 Oktober 2026, layanan ini memeriksa repositori terdaftar secara berkala dengan model terkuat Anthropic, lalu mengirimkan temuan kepada pengelola melalui email. Hal terpenting: laporan dikirim tanpa tinjauan manusia dari Anthropic. Proyek bertanggung jawab memvalidasi temuan dan menentukan prioritasnya.
Jika Anda mengelola pustaka atau aplikasi penting dan mampu menyelidiki laporan, mulailah dari FAQ resmi. Pendaftaran dilakukan melalui pull request ke repositori Anthropic. Mengunduh alat atau membeli kunci API tidak otomatis mendaftarkan proyek.
Sumber diperiksa pada 9 Oktober 2026. Panduan ini mengkaji pengumuman, FAQ, dan kode pendaftaran Anthropic. Kami tidak mendaftarkan proyek atau menjalankan pemindai. Angka kinerja berasal dari penyedia. Sumber primer yang ditautkan berbahasa Inggris.
Proyek apa yang memenuhi syarat?
Anthropic menilai proyek mapan yang berdampak penting pada infrastruktur dan keamanan pengguna, dengan kriteria serupa OSS-Fuzz. Pertimbangannya mencakup paparan terhadap serangan jarak jauh, seperti pemrosesan masukan yang tidak tepercaya, serta jumlah pengguna atau proyek yang bergantung padanya. Penerimaan dinilai satu per satu; FAQ tidak mencantumkan jumlah bintang yang otomatis menjamin penerimaan.
Pendaftar harus merupakan pengelola inti, dan Anthropic akan memverifikasi perannya. Jelaskan singkat mengapa proyek itu penting serta tentukan penanggung jawab kotak masuk keamanan. Layanan ini ditujukan bagi tim yang sudah mampu menangani laporan terverifikasi dengan tingkat keparahan tinggi atau kritis. Pemindaian gratis tetap memerlukan waktu untuk memilah, memperbaiki, dan merilis perubahan.
Perbedaan dengan Claude Security dan Claude Code
FAQ OSS Scanner dan repositori Claude Code Security Reviewer menjelaskan jalur penggunaan yang berbeda:
| Alat atau proses | Kegunaan | Akses dan hasil |
|---|---|---|
| OSS Scanner | Audit berkala untuk proyek sumber terbuka yang diterima | Layanan gratis melalui pendaftaran; laporan buatan model lewat email |
| Claude Security | Pemindaian kode dan perbaikan kerentanan secara komersial | Produk perusahaan dengan jalur akses tersendiri |
| Claude Code Security Reviewer | Meninjau perubahan kode selama pengembangan | GitHub Action dan alur /security-review terpisah |
| Proses CVD standar Anthropic | Pengungkapan terkoordinasi atas temuan tervalidasi | Laporan yang ditinjau manusia, mengikuti kebijakan pengungkapan |
Artikel riset peluncuran menyebut penggunaan model terkuat Anthropic, termasuk Claude Mythos. Itu menjelaskan proses internal layanan, bukan hak mengunduh model atau akses umum ke API Mythos. Repositori publik menyediakan konfigurasi pendaftaran dan alat persiapan, bukan cara terdokumentasi untuk mereplikasi seluruh pemindai terkelola secara lokal.
Cara mendaftarkan proyek
1. Siapkan build dan kontak keamanan
Baca petunjuk repositori dan panduan kontribusi. Siapkan Dockerfile yang memasang dependensi dan membangun proyek. Tahap build memiliki akses jaringan; audit keamanan setelahnya tidak memiliki akses internet. Unduh kebutuhan pengujian selama persiapan, lalu pastikan pengujian berjalan tanpa jaringan di lingkungan yang sudah dibangun.
Alamat email dalam berkas pendaftaran bersifat publik. Gunakan alias keamanan yang boleh dipublikasikan. Jika meminta laporan terenkripsi melalui kunci publik pada pgp, laporan hanya dikirim ke primary_contact; opsi ini tidak dapat digabungkan dengan auto_ccs.
2. Tambahkan konfigurasi pendaftaran
Pada fork repositori Anthropic milik Anda, buat projects/my-project/project.yaml berdasarkan templat resmi. Contoh minimal ini mengasumsikan berkas build dan model ancaman berada di repositori proyek Anda sendiri. Ganti repositori dan kontak contoh, lalu buat berkas yang dirujuk:
repo: https://github.com/example/project#main
primary_contact: security@example.org
dockerfile: .oss-scanner/Dockerfile
threat_model: .oss-scanner/threat_model.md
Gunakan kunci dockerfile dengan huruf kecil sesuai templat dan validator. Alternatifnya, letakkan berkas bernama Dockerfile di sebelah konfigurasi pendaftaran dan hapus kolom dockerfile. Pilih satu lokasi saja. Repositori Git yang dipindai tidak harus dihosting di GitHub.
Berkas opsional threat_model dapat menjelaskan masukan tak tepercaya, batas keamanan, perilaku di luar cakupan, kriteria keparahan, serta bentuk reproduksi dan patch yang berguna. Ini membantu model memahami perilaku yang dimaksud, tetapi tidak menjamin semua temuan menafsirkan model ancaman secara benar.
3. Validasi dan periksa lingkungan tanpa jaringan
Dari direktori utama salinan lokal repositori pendaftaran, perintah persiapan yang didokumentasikan adalah:
python3 tools/validate.py
tools/check my-project
Perintah pertama memvalidasi konfigurasi pendaftaran. Perintah kedua membangun proyek dan membuka shell tanpa jaringan, tempat Anda dapat menjalankan pengujian. Petunjuk resmi mensyaratkan Git, Docker, dan Python 3 dengan PyYAML. Jalankan hanya definisi proyek yang Anda percayai karena tahap build memiliki akses jaringan. Kami mencocokkan perintah dengan dokumentasi, bukan menjalankannya sebagai uji pemindai.
4. Kirim pull request pendaftaran
Sertakan satu proyek per PR, lengkapi daftar pemeriksaan, dan ikuti proses persyaratan layanan serta perjanjian kontributor. Anthropic memverifikasi peran pengelola sebelum menerima proyek. Jika proyek yang diterima gagal dibangun di infrastrukturnya, kontak utama akan menerima pemberitahuan.
Setelah pemindaian pertama, pemindaian berikutnya mencari masalah baru dan kerentanan yang sebelumnya terlewat. Tidak ada janji jadwal harian atau mingguan yang tetap: FAQ menyebut antrean proyek, tingkat penggunaan, dan faktor lain memengaruhi frekuensinya.
Isi laporan dan cara membaca angka kinerja
Anthropic menjelaskan bahwa laporan email memuat contoh reproduksi, penjelasan kerentanan, dan usulan patch jika tersedia. Laporan juga dapat menyertakan hasil penelusuran biner untuk menentukan kapan bug diperkenalkan. Agen memeriksa ulang temuan, tetapi itu bukan validasi manusia. Keparahan bisa dinilai terlalu tinggi, temuan dapat menduplikasi masalah yang sudah diketahui, atau model ancaman bisa disalahpahami.
Evaluasi awal mengambil 97 temuan berkeparahan tinggi atau kritis dari 48 proyek: 85 memenuhi standar CVD, 11 nyata tetapi duplikat, dan satu tidak valid. Ini sampel awal yang dipilih, bukan pengujian akurasi independen untuk seluruh tingkat keparahan. Evaluasi itu juga tidak mengukur jumlah kerentanan yang tidak ditemukan.
Tingkat positif sejati “di atas 90%” dalam pengumuman Cyber Mission merupakan perkiraan, bukan jaminan layanan. Dalam evaluasi Anda sendiri, pisahkan masalah terkonfirmasi, duplikat, kesalahan keparahan, dan laporan tidak valid.
Alur penanganan untuk pengelola
Langkah berikut adalah rekomendasi kami, bukan janji layanan dari Anthropic:
- Tetapkan penanggung jawab dan catat. Gunakan kotak masuk keamanan dengan akses terbatas; catat ID laporan, revisi yang terdampak, dan status awal.
- Reproduksi dan periksa duplikat. Uji contoh di lingkungan terisolasi dan bandingkan dengan pemberitahuan atau laporan privat yang sudah ada. Duplikat dapat menjelaskan kelemahan nyata tanpa membutuhkan perbaikan kedua.
- Nilai dampaknya. Pastikan apakah penyerang mengendalikan masukan, apakah jalur dapat dijangkau dalam konfigurasi yang didukung, dan hak akses apa yang diperlukan. Terapkan kriteria keparahan proyek.
- Tinjau patch dan rilis. Periksa perubahan, tambahkan pengujian regresi, dan periksa kompatibilitas. Koordinasikan perbaikan serta pemberitahuan sebelum membuka rincian sensitif.
Misalnya, jika masalah disebut “kritis” tetapi membutuhkan hak administrator, catat prasyarat itu dan nilai ulang dampaknya. Penilaian awal yang salah tidak otomatis membatalkan seluruh laporan. Masukkan kesalahpahaman berulang ke berkas model ancaman dan sampaikan dalam balasan kepada Anthropic.
Pengungkapan, jeda, dan pertanyaan umum
Apakah setiap laporan memulai tenggat 90 hari?
Tidak. FAQ tidak memberikan tenggat otomatis 90 hari untuk temuan yang belum divalidasi. Jika Anthropic kemudian memvalidasinya secara manual, temuan dapat diungkapkan menurut kebijakan CVD, dengan periode dimulai saat Anda diberi tahu tentang validasi manusia tersebut. Ini bukan janji bahwa temuan tidak akan pernah dipublikasikan.
Bisakah proyek menjeda atau keluar?
Bisa. PR yang menetapkan disabled: true menjeda laporan; menghapus direktori pendaftaran mengakhiri keikutsertaan. Laporan CVD standar yang ditinjau manusia tetap dapat datang. FAQ juga menjanjikan pemberitahuan dan pilihan keluar jika kebijakan pengungkapan berubah di masa mendatang.
Apakah gratis dan menggantikan pemeriksaan lain?
Anthropic menanggung biaya pemindaian bagi proyek yang diterima. Kami menyarankan tetap memakai pemeriksaan dependensi, pengujian, dan tinjauan keamanan manusia: bukti yang dipublikasikan tidak menunjukkan cakupan kerentanan yang lengkap. Keputusan praktisnya adalah apakah tim dapat mengubah tambahan laporan menjadi perbaikan terverifikasi tanpa membebani proses keamanan secara berlebihan.
Peran OmniaKey
Untuk pekerjaan pengembangan dan perbaikan yang terpisah, lihat panduan konfigurasi Claude Code serta katalog model untuk pilihan gateway saat ini. OSS Scanner tetap didaftarkan melalui Anthropic; akun OmniaKey tidak membuka layanan ini maupun model internalnya.