‏Apache סרקה 230 מאגרי קוד עם AI בתוך שלושה ימים

קרן Apache Software Foundation ‏(ASF) הפעילה סריקות אבטחה מלאות על 230 מהמאגרים שלה בתוך שלושה ימים באוגוסט 2026. את העבודה ביצעו צוותי ASF Security ו-ASF Tooling במסגרת Responsible AI Initiative ‏(RAI), בעזרת Claude Mythos 5 של Anthropic דרך Project Glasswing. הממצאים עברו לפרויקטים שבבעלותם הקוד בערוץ החשיפה הרשמי, והתיקונים נמשכים.

למה החלו הסריקות

ASF Security ניתחה סריקות מבוססות Mythos שביצעה Alpha-Omega בשני פרויקטים של הקרן ומצאה את הדוחות ספציפיים ומפורטים. במקביל עולה נפח דוחות הפגיעות שנוצרים ב-AI ומגיעים לפרויקטים של קוד פתוח, וההבחנה בין דוח שימושי לרעש גובה זמן מתחזקים שלפרויקטים אין. הקרן החליטה שהיא עצמה צריכה להריץ את הניתוח, יחד עם הפרויקטים ובהקשר מספיק.

מה כבר היה קיים

מתחילת 2026 מריצה ASF Tooling צינור ביקורת אוטומטי שמעריך קוד לפי תקן OWASP ASVS על Gofannon, פלטפורמת הסוכנים של הצוות. לצינור שלוש שכבות: קלה מסננת נפח גדול, בינונית בונה מלאי של תוכן הקוד, וכבדה מבצעת את הניתוח שדורש חשיבה אמיתית. המודל לכל שכבה נבחר בזמן הריצה בין הרכב Opus, Sonnet ו-Haiku לבין הרכב Mythos, Gemma ו-Qwen. לדברי הצוות, מתן הקשר על בסיס הקוד הפחית בחדות תוצאות שגויות.

קודם כל מודל איומים

לפני הסריקה הזמינה ASF Security את הפרויקטים לעבוד על מודל איומים. נרשמו 75 ועדות ניהול פרויקט (PMC) המכסות יותר מ-180 מאגרים ותיארו מה חשוב, אילו גבולות צריכים להחזיק ואילו הנחות כבר מוסכמות. מודלים שנבנו בעזרת כישורי Threat Model של Alpha-Omega נבדקו תחילה, וסריקה מול מודל שנבדק עלתה כחמישית פחות.

Glasswing, חשיפה והשלבים הבאים

תוכנית Project Glasswing של Anthropic נותנת לארגונים נבחרים גישה למודלים החזקים ביותר של החברה. הסריקות בוצעו עם ה-harness של Glasswing בסשנים מקבילים של Claude Code, ולפגיעויות קריטיות צורף תיקון שהוכן ונבדק בנפרד. ממצאים רגישים מגיעים תחילה לרשימת האבטחה של הפרויקט וה-PMC מתקן בקצב שלו. בהמשך מתוכננות סריקות מצטברות, סוגי סריקה נוספים ומצב עצמי עם תקציב טוקנים שהקרן מנהלת.