Découverte gratuite ne signifie pas correction gratuite. OSS Scanner envoie aux projets sélectionnés des rapports sans revue humaine d’Anthropic. Il faut savoir si les preuves économisent du temps et permettent une publication sûre.
Les mainteneurs principaux demandent une admission individuelle. Rapports : reproduction, explication, histoire estimée et correctif possible. La voie revue par des humains reste disponible. L’assurance préalable diffère.
Interpréter l’échantillon
Les 97 résultats élevés ou critiques couvrent 48 projets. Des experts ont accepté 85 selon le standard ; onze étaient des doublons réels, un invalide. Ce n’est pas toute l’exactitude du service. Plus de 90% attendus restent estimation.
Un vrai bug peut être moins grave. Accessibilité, authentification, protection et confiance changent l’impact. Séparez validité, doublon et gravité afin qu’un titre alarmant ne déplace pas les vraies priorités.
Attribuer reproduction et sortie
Nommez responsable et remplaçant. Reproduisez isolément, dédupliquez, confirmez la menace et décidez de la divulgation avant l’exploit. Code public ne rend pas les correctifs privés non sensibles.
Testez usages, régressions, autres attaques et compatibilité. Une reproduction ne prouve pas le correctif sûr. Fusionner doit conduire à une version adoptée.
Combiner les méthodes
Le fuzzing donne des crashes exécutés ; les modèles relient permissions et fichiers. Analyse statique, dépendances et experts complètent. Ils doivent contester les mauvaises hypothèses.
Découvert, revu, gravité confirmée et publié sont différents comptes. Une file mesure débit, pas protection. Les chiffres concurrents exigent des définitions communes.
Adapter la cadence
Suivez reproductions, doublons, déclassements, correctifs acceptés, délais et réouvertures. Les rapports ne doivent pas épuiser les bénévoles avec des failles toujours ouvertes.
Une voie lente vérifiée peut être préférable. Le succès est la mise à jour sûre et le temps restant pour maintenir. L’inscription est un engagement opérationnel.
L’accord des mainteneurs est aussi une frontière. Un dépôt public n’autorise pas un flux illimité d’exploits. Définissez canal, cadence et protection des rapports au départ. Si la charge augmente, prévoyez pause ou retour à la revue humaine. Mesurez les corrections publiées et adoptées, pas les messages. Un remplaçant évite que divulgation et sortie dépendent d’une seule personne disponible.