OSS Scanner: servicio de detección de vulnerabilidades de suscripción voluntaria de Anthropic
Segu-Info · 10 oct, 21:16
Anthropic ha lanzado OSS Scanner, un servicio gratuito que utiliza sus modelos de IA para detectar vulnerabilidades en repositorios de código abierto críticos y notificar directamente a los desarrolladores. El escáner, basado en el trabajo de Project Glasswing, ejecuta análisis repetidos en entornos aislados y propone parches cuando están disponibles, aunque todos los hallazgos son verificados únicamente por agentes automatizados sin revisión humana.
OSS Scanner construye primero el proyecto inscrito en una máquina virtual aislada con acceso a red para instalar dependencias, luego desactiva Internet antes de la auditoría de seguridad, permitiendo que los agentes examinen el código en un entorno restringido. Los informes se envían por correo electrónico con pasos para reproducir el problema y un parche propuesto cuando está disponible. Anthropic afirma que sus procesos incluyen agentes que verifican doblemente los errores y examinan las causas raíz, aunque estas comprobaciones son completamente automatizadas sin intervención humana.
Los desarrolladores principales pueden solicitar entrada abriendo un pull request en el repositorio oficial de GitHub con un archivo project.yaml que contenga la dirección del repositorio y correo de contacto. Anthropic verifica manualmente que los solicitantes sean responsables principales antes de aceptar un proyecto. El servicio realiza escaneos repetidos para detectar vulnerabilidades recién introducidas y problemas omitidos anteriormente, con frecuencia que depende de factores como la demanda y uso del proyecto. Para octubre de 2026, Anthropic había revisado más de 6.000 informes de vulnerabilidades a través de su proceso de divulgación actual.
Puntos clave
- Servicio gratuito de suscripción voluntaria para proyectos de código abierto críticos
- Análisis en máquinas virtuales aisladas con construcción del proyecto y acceso a red controlado
- Verificación automatizada de hallazgos sin revisión humana antes de notificar a desarrolladores
- Propone parches cuando están disponibles en los reportes de vulnerabilidades
- Escaneos repetidos para detectar problemas nuevos u omitidos anteriormente