無料の脆弱性発見は無料の修復ではありません。Anthropic OSS Scanner は承認されたプロジェクトへ、人の確認を経ないモデル報告を送ります。保守者は証拠が検証費用以上を節約し、安全な公開へ進めるか判断します。
中核保守者の申請と個別審査が必要です。報告は再現、説明、混入時期推定、修正案を含み得ます。処理できないチームには人による確認経路が残ります。保証の異なる二工程です。
標本を全体精度と混同しない
48 プロジェクトの重大判定 97 件で、85 が公開基準に合致、11 は実在する重複、1 は無効でした。生態系全体の精度ではなく、九割超の予想は会社推定です。
本当の不具合でも重大度は下がります。到達性、認証、対策、信頼前提を見て、有効性、重複、影響を分けます。
再現と公開の担当を決める
受信担当と代役を置き、隔離再現、重複除去、脅威モデル確認の後に公開を決めます。公開コードでも非公開問題や修正は機密です。
修正案は通常動作、回帰、別経路、互換性を試します。再現成功は修正安全性ではありません。マージ後も版公開と下流更新が必要です。
手段を組み合わせる
ファジングはクラッシュ等の実行証拠、モデルは権限やファイル間関係を探ります。静的解析、依存検査、人の専門性も必要です。誤った脅威モデルを互いに検証します。
発見、確認、重大度確定、公開済みは別の数です。候補の多さは処理量であり保護完了ではありません。他社の数値も定義が違えば比較できません。
受け手に頻度を合わせる
再現、重複、格下げ、修正採用、公開時間、再発を追います。報告増加が志願者を消耗させるなら頻度を変えます。
余力がなければ確認済みの遅い経路が有益です。安全な更新が利用者へ届き、保守時間が残ることが成功です。参加は無料モデル入手だけでなく運用の約束です。