Anthropic OSS Scanner rehberi
Bulguları inceleyip düzeltebilecek açık kaynak ekipleri için ücretsiz güvenlik taraması.
Anthropic OSS Scanner, koşulları karşılayan açık kaynak projelerinin başvurarak katıldığı ücretsiz bir güvenlik açığı tarama hizmetidir. 8 Ekim 2026’da duyurulan hizmet, kabul edilen depoları Anthropic’in en güçlü modelleriyle düzenli olarak inceler ve bulguları proje sorumlularına e-postayla gönderir. Temel koşul şudur: raporlar gönderilmeden önce Anthropic tarafından insan incelemesinden geçirilmez. Doğrulama ve önceliklendirme projeye aittir.
Önemli bir kütüphane veya uygulamanın bakımını yapıyor ve raporları araştırabilecek kapasiteye sahipseniz resmî SSS sayfasıyla başlayın. Kayıt, Anthropic’in deposuna bir pull request gönderilerek yapılır. Araç indirmek ya da API anahtarı satın almak projeyi kaydetmez.
Kaynak kontrolü: 9 Ekim 2026. Bu rehber Anthropic’in duyurusunu, SSS sayfasını ve kayıt kodunu inceler. Bir proje kaydetmedik veya tarayıcıyı çalıştırmadık. Performans verileri sağlayıcının bildirdiği sonuçlardır. Bağlantı verilen birincil kaynaklar İngilizcedir.
Hangi projeler başvurabilir?
Anthropic, altyapı ve kullanıcı güvenliği üzerinde kritik etkisi olan yerleşik projeleri OSS-Fuzz’a benzer ölçütlerle ayrı ayrı değerlendirir. Güvenilmeyen girdilerin işlenmesi gibi uzaktan saldırı olasılıkları, kullanıcı sayısı ve projeye bağımlı diğer yazılımlar dikkate alınır. SSS’de otomatik kabul sağlayan bir yıldız sayısı açıklanmamıştır.
Başvuruyu çekirdek ekipteki bir bakım sorumlusu yapmalı; Anthropic bu rolü doğrular. Projenin önemini kısaca açıklayın ve güvenlik posta kutusuyla ilgilenecek birini belirleyin. Hizmet, doğrulanmış yüksek ve kritik önemdeki raporlara zaten yetişebilen ekipler için tasarlanmıştır. Ücretsiz tarama; değerlendirme, düzeltme ve sürüm çıkarma için gereken zamanı ortadan kaldırmaz.
Claude Security ve Claude Code’dan farkı
OSS Scanner SSS ve Claude Code Security Reviewer deposu, farklı kullanım yollarını açıklıyor:
| Araç veya süreç | Amaç | Erişim ve çıktı |
|---|---|---|
| OSS Scanner | Kabul edilen açık kaynak projelerini düzenli denetlemek | Başvuruyla ücretsiz hizmet; model üretimi e-posta raporları |
| Claude Security | Ticari kaynak kodu taraması ve güvenlik açığı giderme | Ayrı erişim süreci olan kurumsal ürün |
| Claude Code Security Reviewer | Geliştirme sırasında kod değişikliklerini incelemek | Ayrı GitHub Action ve /security-review iş akışı |
| Anthropic’in standart CVD süreci | Doğrulanmış açıkların koordineli açıklanması | İnsanların incelediği raporlar ve açıklama politikası |
Lansman araştırması, Claude Mythos dahil Anthropic’in en güçlü modellerinin kullanıldığını belirtiyor. Bu bilgi hizmetin iç işleyişini anlatır; model indirme veya genel Mythos API erişimi vermez. Açık depo, kayıt yapılandırmasını ve hazırlık araçlarını sunar; barındırılan tarayıcının tamamını yerelde yeniden kurmak için belgelenmiş bir yöntem sunmaz.
Bir proje nasıl kaydedilir?
1. Derleme ortamını ve güvenlik kişisini hazırlayın
Depo yönergelerini ve katılım rehberini okuyun. Bağımlılıkları kuran ve projeyi derleyen bir Dockerfile hazırlayın. Derleme internete erişebilir; sonraki güvenlik denetimi erişemez. Testlerin ihtiyaçlarını hazırlık aşamasında indirin ve tamamlanan ortamda testlerin çevrimdışı çalıştığını kontrol edin.
Kayıt dosyasındaki e-posta adresleri herkese açıktır. Yayımlayabileceğiniz bir güvenlik adresi kullanın. pgp alanına açık anahtar ekleyerek şifreli rapor isterseniz, iletiler yalnızca primary_contact adresine gider; auto_ccs ile birlikte kullanılamaz.
2. Kayıt yapılandırmasını ekleyin
Anthropic deposunun kendi çatallamanızda resmî şablondan projects/my-project/project.yaml oluşturun. Bu asgari örnek, derleme ve tehdit modeli dosyalarının sizin proje deponuzda olduğunu varsayar. Örnek depo ve adresi değiştirip belirtilen dosyaları hazırlayın:
repo: https://github.com/example/project#main
primary_contact: security@example.org
dockerfile: .oss-scanner/Dockerfile
threat_model: .oss-scanner/threat_model.md
Şablon ve doğrulayıcıdaki küçük harfli dockerfile anahtarını kullanın. Alternatif olarak kayıt yapılandırmasının yanına Dockerfile adlı dosyayı koyup dockerfile alanını çıkarabilirsiniz. İki yerden yalnızca birini seçin. Taranan Git deposunun GitHub’da olması zorunlu değildir.
İsteğe bağlı threat_model dosyası; güvenilmeyen girdileri, güvenlik sınırlarını, kapsam dışı davranışları, önem derecelerini ve yararlı yeniden üretim örnekleriyle yama beklentilerini açıklayabilir. Beklenen davranışın anlaşılmasını kolaylaştırır, fakat her bulgunun tehdit modelinizi doğru yorumlayacağını garanti etmez.
3. Yapılandırmayı ve çevrimdışı ortamı kontrol edin
Kayıt deposunun yerel kopyasının kökünde belgelenen hazırlık komutları şunlardır:
python3 tools/validate.py
tools/check my-project
İlk komut kayıt yapılandırmalarını doğrular. İkincisi projeyi derleyip ağ erişimi kapalı bir kabuk açar; burada testleri çalıştırabilirsiniz. Git, Docker ve PyYAML kurulu Python 3 gerekir. Derleme ağ erişimi kullandığından yalnızca güvendiğiniz proje tanımlarını çalıştırın. Bu komutları belgelerle karşılaştırdık; makale için bir tarayıcı denemesi olarak çalıştırmadık.
4. Kayıt pull request’ini gönderin
Her PR’da bir proje bulunsun. Kontrol listesini tamamlayın, kullanım koşulları ve katkıda bulunan sözleşmesi sürecini izleyin. Anthropic kabulden önce bakım sorumlusunun rolünü doğrular. Kabul edilen proje kendi altyapısında derlenemezse ana iletişim adresine haber verir.
İlk taramadan sonraki çalışmalar, yeni eklenen sorunları ve daha önce kaçırılan açıkları arar. Sabit günlük veya haftalık tarama sözü yoktur: SSS’ye göre sıklık, bekleyen proje sayısına, kullanım yaygınlığına ve başka etkenlere bağlıdır.
Raporlar ne içerir, sayılar ne anlama gelir?
Anthropic; hatayı yeniden üretme örneği, güvenlik açığının açıklaması ve mevcutsa aday yama içeren raporları e-postayla iletir. Hatanın hangi değişiklikle eklendiğini belirleyen ikili arama sonucu da bulunabilir. Ajanlar bulguları tekrar kontrol eder, ancak bu insan doğrulaması değildir. Önem derecesi abartılabilir, bilinen bir sorun yinelenebilir veya tehdit modeli yanlış anlaşılabilir.
İlk değerlendirmede 48 projedeki 97 yüksek veya kritik önem dereceli bulgu seçildi: 85’i CVD eşiğini karşıladı, 11’i gerçek ancak yinelenen sorunlardı, biri geçersizdi. Bu, tüm önem derecelerini kapsayan bağımsız bir doğruluk testi değil, seçilmiş erken bir örneklemdir. Tarayıcının kaçırdığı açıkların sayısını da ölçmez.
Cyber Mission duyurusundaki “%90’ın üzerinde” doğru pozitif oranı bir beklentidir, hizmet garantisi değildir. Kendi değerlendirmenizde doğrulanan sorunları, tekrarları, yanlış önem derecelerini ve geçersiz raporları ayrı tutun.
Bakım ekipleri için uygulanabilir bir süreç
Aşağıdaki adımlar bizim önerimizdir; Anthropic’in hizmet taahhüdü değildir:
- Atayın ve kaydedin. Erişimi kısıtlı güvenlik posta kutusunda bir sorumlu belirleyin; rapor kimliğini, etkilenen revizyonu ve ilk durumu kaydedin.
- Yeniden üretin ve tekrarları ayırın. Örneği yalıtılmış bir test ortamında kontrol edip mevcut duyurular ve özel raporlarla karşılaştırın. Tekrarlanan bir rapor gerçek bir açığı anlatabilir, ama ikinci bir düzeltme gerektirmeyebilir.
- Etkiyi değerlendirin. Saldırganın girdiyi kontrol edip etmediğini, desteklenen yapılandırmalarda ilgili yola ulaşılıp ulaşılmadığını ve gerekli yetkileri doğrulayın. Projenizin önem ölçütlerini uygulayın.
- Yamayı inceleyip sürümü yayımlayın. Değişikliği gözden geçirin, regresyon testi ekleyin ve uyumluluğu kontrol edin. Hassas ayrıntıları açıklamadan önce düzeltme ve duyuruyu güvenlik sürecinize göre koordine edin.
Örneğin “kritik” olarak işaretlenen bir sorun yönetici yetkisi gerektiriyorsa, bu ön koşulu kaydedip etkisini yeniden değerlendirin. İlk derecelendirme yanlış diye raporun tamamını atmayın. Tekrarlanan yanlış anlamaları tehdit modeli dosyasına ve Anthropic’e gönderdiğiniz yanıtlara ekleyin.
Açıklama politikası, duraklatma ve sık sorulanlar
Her rapor 90 günlük süreyi başlatır mı?
Hayır. SSS, doğrulanmamış bulgulara otomatik 90 günlük süre koymuyor. Anthropic sonradan bir bulguyu elle doğrularsa CVD politikası kapsamında açıklayabilir; süre insan doğrulamasının size bildirildiği tarihten başlar. Bu, bulgunun hiçbir zaman açıklanmayacağı sözü değildir.
Proje ara verebilir veya ayrılabilir mi?
Evet. Bir PR ile disabled: true ayarı raporları duraklatır; kayıt dizinini silmek katılımı sonlandırır. İnsanların incelediği standart CVD raporları yine gelebilir. SSS, gelecekteki açıklama politikası değişiklikleri için önceden bildirim ve ayrılma seçeneği de öngörüyor.
Ücretsiz mi, diğer kontrollerin yerini alır mı?
Anthropic kabul edilen projelerin tarama maliyetini karşılar. Bağımlılık kontrollerini, testleri ve insan güvenlik incelemesini sürdürmenizi öneririz; yayımlanan veriler tüm açıkların bulunduğunu göstermiyor. Asıl karar, ek raporların güvenlik sürecini aşırı yüklemeden incelenmiş düzeltmelere dönüştürülüp dönüştürülemeyeceğidir.
OmniaKey’in rolü
Ayrı geliştirme ve düzeltme işleri için Claude Code kurulum rehberimiz ve güncel ağ geçidi seçeneklerini gösteren model kataloğumuz kullanılabilir. OSS Scanner başvurusu Anthropic’e yapılır; OmniaKey hesabı bu hizmete veya içeride kullanılan modellere erişim sağlamaz.