SULAWESI BARAT — Anthropic merilis OSS Scanner, layanan pemindaian kerentanan gratis untuk proyek open-source yang ditenagai model AI terkuat mereka. Pemindai ini memberi peringatan dini tanpa biaya, tetapi laporannya sepenuhnya dihasilkan model tanpa tinjauan manusia. Cocok untuk proyek open-source yang ingin audit keamanan rutin tanpa anggaran besar.
Anthropic membuka akses OSS Scanner bagi proyek open-source yang ingin memeriksa celah keamanan secara berkala. Perusahaan menyatakan proyek yang bergabung akan menerima pemindaian keamanan menyeluruh dan periodik menggunakan model AI terkuat mereka, tanpa biaya sepeser pun.
Langkah ini menempatkan Anthropic bersaing langsung dengan OSS-Fuzz, pemindai open-source buatan Google dan OpenSSF yang sudah berjalan sejak 2016. Bedanya, OSS Scanner mengandalkan model bahasa besar untuk menemukan potensi kerentanan, bukan fuzzing konvensional.
Apa Itu OSS Scanner dan Cara Kerjanya
OSS Scanner adalah layanan opt-in. Proyek open-source yang mendaftar akan mendapat pemindaian keamanan berkala dari model AI milik Anthropic. Perusahaan menyebut model yang dipakai termasuk Claude Mythos, model terkuat mereka saat ini.
Karena sepenuhnya dijalankan model, pemindaian bisa dilakukan lebih sering dan cepat dibanding audit manual. Namun ada konsekuensi yang perlu dicatat: laporan yang dihasilkan tidak melalui tinjauan atau triase manusia.
"The outputs of this opt-in vulnerability scanner will be fully model-generated, without human review or triage," jelas Anthropic. "This will enable faster and more frequent scanning, but means that it is possible reports will be incorrect or invalid."
Artinya, pengembang bisa mendapat peringatan dini, tetapi tetap harus memverifikasi sendiri apakah temuan itu valid atau false positive. Model AI memang terbukti jago menemukan celah, tapi juga bisa salah membaca kode.
Beda dengan Claude Security dan OSS-Fuzz
Anthropic sudah punya produk berbayar bernama Claude Security untuk pemindaian dan penambalan kode secara umum. OSS Scanner menawarkan fungsi serupa, tetapi khusus proyek open-source dan gratis.
Inspirasi layanan ini datang dari OSS-Fuzz yang dikembangkan Google bersama OpenSSF. Sejak 2016, OSS-Fuzz jadi standar de facto audit keamanan open-source. Anthropic mencoba mendekati masalah yang sama dengan pendekatan AI generatif.
Baik Google maupun Anthropic punya kepentingan sendiri. Keduanya bergantung pada proyek open-source yang menopang infrastruktur internet, banyak di antaranya dijalankan relawan tanpa bayaran. Celah keamanan di kode semacam itu berisiko besar.
Mengapa Open-Source Jadi Target Empuk
Contoh nyata bahayanya adalah backdoor XZ Utils. Insiden itu nyaris memberi hacker kontrol administratif atas jutaan sistem di seluruh dunia. Kasus ini menunjukkan satu celah di proyek kecil bisa berdampak global.
Proyek open-source sering kekurangan sumber daya untuk audit keamanan rutin. OSS Scanner menawarkan jalan tengah: pemindaian otomatis gratis, meski tanpa jaminan akurasi penuh.
Siapa yang Cocok Memakai
OSS Scanner paling relevan untuk maintainer proyek open-source yang tidak punya anggaran audit keamanan. Peringatan dini dari model AI bisa jadi lapisan pertahanan tambahan sebelum celah dieksploitasi.
Pengembang tetap perlu sikap kritis. Laporan model bisa keliru, dan tanpa triase manusia, verifikasi manual jadi tanggung jawab masing-masing proyek. Untuk proyek yang sudah punya proses audit ketat, layanan ini lebih cocok sebagai pelengkap, bukan pengganti.
