Ngày 8/10/2026, Anthropic ra mắt OSS Scanner, dịch vụ miễn phí quét lỗ hổng bảo mật định kỳ cho các dự án mã nguồn mở bằng các mô hình AI mạnh nhất của mình, bao gồm Claude Mythos. Báo cáo được tạo hoàn toàn bởi mô hình, không qua kiểm duyệt của chuyên gia, giúp phát hiện lỗ hổng nhanh hơn nhưng đồng thời có thể chứa kết quả không chính xác hoặc không hợp lệ.
OSS Scanner là gì và hoạt động như thế nào?
OSS Scanner được xây dựng từ kinh nghiệm của Project Glasswing, chương trình nội bộ của Anthropic dùng Claude để quét các phần mềm mã nguồn mở quan trọng. Trong sáu tháng qua, các mô hình của Anthropic đã xác định hơn 29.000 lỗ hổng tiềm năng, nhưng chuyên gia chỉ có thể xác minh khoảng 6.000 trong số đó, theo bài đăng ra mắt ngày 8/10/2026 của Anthropic. Chính giới hạn này dẫn đến dịch vụ mới.
OSS Scanner tạo ra một “lộ trình nhanh” tùy chọn: các dự án đã đăng ký nhận báo cáo trực tiếp từ mô hình ngay khi quét xong, bỏ qua quy trình CVD (coordinated vulnerability disclosure, tức quy trình công bố lỗ hổng có phối hợp, nơi đội bảo mật xác minh và sắp xếp vá lỗi trước khi công bố) thông thường của Anthropic. Anthropic cho biết vẫn tiếp tục thực hiện CVD thủ công cho các dự án không có nguồn lực tự phân loại báo cáo chưa xác minh.
Mỗi báo cáo bao gồm:
- Một reproducer (test case tái hiện lỗi) độc lập
- Giải thích về lỗ hổng, gồm bisection để xác định thời điểm lỗi được đưa vào code
- Đề xuất bản vá khi có thể
Anthropic nhấn mạnh tốc độ là yếu tố then chốt, ghi nhận trong bài đăng ra mắt rằng exploit (mã khai thác lỗ hổng) hiện có thể được phát triển chỉ trong vài phút.
Báo cáo lỗ hổng do AI tạo ra hiện chính xác đến đâu?
Khoảng cách về độ chính xác đã thu hẹp đáng kể. Trên CyberGym, một benchmark (bộ bài kiểm tra hiệu suất) học thuật đo khả năng tìm lỗ hổng, các LLM (mô hình ngôn ngữ lớn) tăng từ dưới 20% lên trên 85% tỷ lệ phát hiện lỗ hổng, so sánh giữa đầu năm ngoái và năm nay, theo bài đăng ngày 8/10/2026 của Anthropic.
Người dùng thử nghiệm sớm xác nhận điều này trực tiếp. Noah Misch của PostgreSQL cho biết OSS Scanner phát hiện “tỷ lệ bất thường cao” các lỗi của PostgreSQL, với một số báo cáo có kèm bản vá “gần như dùng được ngay”, và lộ trình nhanh giúp nhóm xử lý các vấn đề mới nhất trước khi chúng vào bản phát hành chính thức. Anton Arapov của OpenSSL Corporation nói rằng báo cáo AI cách đây 18 tháng “rất tệ,” nhưng kết quả từ mô hình của Anthropic “tốt và đôi khi còn tốt hơn những gì chúng tôi nhận được từ con người.”
Nhu cầu nhận báo cáo chưa xác minh đã xuất hiện trước khi ra mắt: Anthropic cho biết đã gửi gần 5.000 báo cáo trực tiếp cho các maintainer (người duy trì dự án) yêu cầu nhận tất cả mà không chờ xác minh của chuyên gia.
Bức tranh tổng thể phức tạp hơn. The Verge ghi nhận rằng các công cụ AI đã giúp phát hiện các lỗi nghiêm trọng, chẳng hạn lỗi “Copy Fail” ảnh hưởng đến hầu hết mọi bản phân phối Linux vào tháng 5, nhưng đồng thời một số dự án mã nguồn mở, bao gồm các nhóm xung quanh Linus Torvalds và Google, đang vật lộn để theo kịp khối lượng báo cáo lỗi do AI tạo ra.
Ai đủ điều kiện và cách đăng ký?
OSS Scanner miễn phí. Anthropic áp dụng tiêu chí tương tự OSS-Fuzz (dự án kiểm thử tự động lâu năm của Google cho phần mềm mã nguồn mở), chấp nhận các dự án đã được thiết lập có tác động quan trọng đến cơ sở hạ tầng. Các yếu tố xem xét bao gồm:
- Mức độ phơi nhiễm với các cuộc tấn công từ xa, chẳng hạn thư viện xử lý dữ liệu đầu vào không đáng tin cậy
- Số lượng người dùng hoặc dự án phụ thuộc
Để đăng ký, một core maintainer (người duy trì cốt lõi) mở một pull request (yêu cầu tích hợp code) tại github.com/anthropics/oss-scanner, thêm file cấu hình theo mẫu được cung cấp. Anthropic xác minh danh tính maintainer thủ công trước khi cấp quyền truy cập.
Theo trang đăng ký OSS Scanner, dịch vụ hướng đến rõ ràng các dự án đã có khả năng xử lý các báo cáo lỗi nghiêm trọng đã xác minh, không phải những dự án đang bị quá tải bởi khối lượng báo cáo hiện tại.
OSS Scanner tách biệt hoàn toàn với Claude Security, sản phẩm quét và vá lỗi code dành riêng cho doanh nghiệp của Anthropic.
Checklist trước khi đăng ký OSS Scanner
- Xác nhận dự án đáp ứng tiêu chí kiểu OSS-Fuzz: tác động cơ sở hạ tầng quan trọng, bề mặt tấn công từ xa đáng kể, lượng người dùng đủ lớn
- Đánh giá thực tế năng lực hiện tại của nhóm trong việc phân loại báo cáo chưa xác minh song song với khối lượng công việc đang có
- Thiết lập quy trình phân loại trước khi báo cáo đầu tiên đến: tối thiểu là một hộp thư có nhãn và người phụ trách rõ ràng cho mỗi báo cáo đến
- Chuẩn bị file threat model (
.oss-scanner/threat_model.md) để truyền đạt ưu tiên quét đến Anthropic - Chuẩn bị GPG public key (khóa mã hóa dùng để bảo mật email) nếu muốn nhận báo cáo được mã hóa
- Đảm bảo người gửi PR đăng ký là core maintainer, không phải contributor thông thường, vì Anthropic xác minh danh tính thủ công
Góc nhìn Hingewise
Điều OSS Scanner thực sự thay đổi không phải là số lượng lỗi được tìm ra mà là ai phải chịu trách nhiệm đọc và xử lý chúng.
Hãy hình dung thế này: kiểm toán bảo mật truyền thống giống như thuê một thanh tra lập báo cáo chứng nhận sau khi đã xác minh mọi thứ. OSS Scanner giống việc lắp hệ thống cảm biến chuyển động, phát cảnh báo ngay lập tức với bất cứ thứ gì di chuyển, và để bạn tự quyết định cảnh báo nào là thật. Bao phủ nhanh hơn, nhiễu nhiều hơn.
Anthropic tìm thấy 29.000 lỗ hổng tiềm năng nhưng chỉ xác minh được 6.000. Lộ trình nhanh giao phần còn lại cho maintainer tự quyết. Với các dự án có đủ nguồn lực, đó là lợi thế thực sự. Với các nhóm nhỏ vốn đã căng mình, nó có nguy cơ trở thành một hộp thư đến khác chỉ để lo.
Theo nhận định của Hingewise, tác động ít rõ ràng hơn là ở cách các hệ thống AI đánh giá và đề xuất phần mềm mã nguồn mở. Các công cụ tìm kiếm và phát triển phần mềm dựa trên AI nhiều khả năng có cân nhắc tín hiệu bảo trì và bảo mật của một dự án khi gợi ý thư viện hay framework. Một dự án có lịch sử quét tài liệu rõ ràng, hồ sơ vá lỗi công khai và các CVD đã được công bố sẽ cung cấp cho AI những tín hiệu có cấu trúc khi đánh giá chất lượng phần mềm. Dự án không có hồ sơ như vậy khó được xếp vào nhóm “đang được duy trì và giám sát tích cực.” Hãy thử hỏi công cụ AI nào sẽ gợi ý một thư viện không rõ lịch sử bảo mật khi có lựa chọn nào được tài liệu hóa đầy đủ hơn?
Khi OSS Scanner tạo ra hàng loạt hồ sơ lỗ hổng và vá lỗi công khai, những hồ sơ đó nhiều khả năng sẽ trở thành một phần trong tập dữ liệu mà các hệ thống AI retrieval (truy xuất thông tin) khai thác. Theo đánh giá của Hingewise, sự phân tách giữa báo cáo đã xác minh và chưa xác minh không phải giải pháp tạm thời trong giai đoạn chuyển tiếp mà nhiều khả năng sẽ trở thành đặc điểm lâu dài của bức tranh bảo mật. Maintainer nào xây dựng tiêu chí lọc ngay bây giờ, trước khi khối lượng báo cáo tăng cao hơn nữa, sẽ ở vị trí tốt hơn so với những người xử lý theo kiểu phản ứng.
Nguồn:
The Verge, Anthropic launches free AI security scans for open-source projects (8/10/2026)
Anthropic, An opt-in vulnerability-finding service for open-source software (8/10/2026)
Anthropic, OSS Scanner sign-up page
Bài viết được soạn với sự hỗ trợ của AI từ các nguồn dẫn ở trên và đối chiếu với các nguồn đó trước khi đăng. "Góc nhìn Hingewise" là nhận định biên tập của Hingewise, dựa trên khung phân tích và lập trường chúng tôi dùng trong công việc GEO. Cách chúng tôi làm việc: Chính sách biên tập.