Anthropic: OSS Scanner يكتشف 77 ثغرة حرجة في 11 يوماً
أداة الفحص المجانية المدعومة بـ Claude Mythos كشفت 880 ثغرة بين حرجة وعالية الخطورة، من بينها ثغرة في curl أُصلحت في الإصدار 8.23.0.
أعلنت شركة Anthropic أن خدمتها المجانية OSS Scanner، التي تفحص ثغرات البرمجيات مفتوحة المصدر باستخدام نماذج متقدمة مثل Claude Mythos، رصدت 77 ثغرة حرجة و803 ثغرات عالية الخطورة خلال أول 11 يوماً من تشغيلها، بحسب gamebusiness.jp.
ونقلت الشركة أن من بين ما رصده الماسح ثغرة CVE-2026-92392 في مكتبة curl، وهي ثغرة use-after-free أثناء رفع البيانات عبر HTTP/2 عندما يقطع الخادم الاتصال أثناء نقل البيانات. وأُصلحت الثغرة في curl 8.23.0 الصادر في 14 أكتوبر/تشرين الأول.
ووصف قائد تطوير curl دانيال ستينبرغ العيب بأنه من أسوأ ما واجهته المكتبة منذ فترة طويلة، إذ لم تسجل curl سوى 3 ثغرات بتصنيف High منذ 2021. وأثبت الباحثون تنفيذ تعليمات برمجية عن بُعد في ظروف محددة، غير أن curl تقول إن الشروط صارمة وأن النتيجة الأرجح هي تعطل البرنامج.
ووفقاً للشركة، ورد تقرير الثغرة في 15 سبتمبر/أيلول من نسخة تجريبية من الماسح، ما دفع فريق curl إلى تقديم موعد الإصدار أسبوعين. وفي إطار التحقق الأولي من 97 نتيجة حرجة وعالية عبر 48 مشروعاً، وجد مختصو اختبار الاختراق أن 85 منها (88%) استوفت معايير الإفصاح، وأن واحدة كانت إيجابية خاطئة.
وتؤكد Anthropic أن التقارير تمثل مخرجات النموذج الخام دون مراجعة بشرية وقد تتضمن إيجابيات خاطئة، وأن بعض المشرفين أبلغوا عن مبالغة في تقدير الخطورة أو سوء فهم لنموذج التهديد الخاص بمشاريعهم. وحتى 2 أكتوبر/تشرين الأول، كان لدى الشركة 29,439 نتيجة من الفحص الآلي، راجعت منها بشرياً 6,123 فقط، وأرسلت قرابة 5,000 نتيجة غير مؤكدة إلى مشرفين طلبوها.
قيود الوصول والفحص
تجري عمليات الفحص في بيئة معزولة عن الإنترنت باستخدام ملف Dockerfile الخاص بالمشروع ونموذج تهديد اختياري، دون مهلة إفصاح مدتها 90 يوماً ودون نشر التقارير. وتُرسل التقارير مشفرة بالكامل بعد أن حجبت خدمات البريد معظم أكواد الاستغلال المرفقة باعتبارها برمجيات خبيثة، وتُختبر حالياً آلية التسليم عبر GitHub Security Advisories.
يُقدَّم المشرفون عبر إضافة ملف إعدادات إلى مستودع anthropics/oss-scanner، وتتحقق Anthropic من كونهم مشرفين أساسيين؛ وقد تلقت نحو 650 طلباً قُبل منها 114 مشروعاً. وتستشهد الشركة بخدمة OSS-Fuzz من Google كنموذج، وتتيح منتجها المدفوع Claude Security للمؤسسات. يُذكر أن OpenAI أعلنت في أكتوبر 2025، عند كشفها عن Aardvark (المعروف الآن بـ Codex Security)، أنها ستقدم فحصاً مجانياً لبعض مشاريع المصادر المفتوحة غير التجارية.
أسئلة سريعة
ما هي ثغرة CVE-2026-92392 التي اكتشفها OSS Scanner؟
ثغرة use-after-free في مكتبة curl أثناء رفع البيانات عبر HTTP/2 عندما يقطع الخادم الاتصال، وأُصلحت في الإصدار 8.23.0 الصادر في 14 أكتوبر/تشرين الأول.
كيف ينضم مشرفو المصادر المفتوحة إلى OSS Scanner؟
عبر تقديم طلب بإضافة ملف إعدادات إلى مستودع anthropics/oss-scanner على GitHub، مع تحقق Anthropic من صفة المشرف الأساسي. قُبل 114 مشروعاً من نحو 650 طلباً.
هل تقارير OSS Scanner موثوقة بالكامل؟
لا؛ فالتقارير مخرجات خام للنموذج دون مراجعة بشرية وقد تحتوي إيجابيات خاطئة. وفي تحقق أولي من 97 نتيجة، استوفت 85 منها معايير الإفصاح وكانت واحدة إيجابية خاطئة.