Anthropic Launches Free AI Vulnerability Scanner for Open-Source Projects
The Hacker News · 9 oct, 14:47
Anthropic lanzó OSS Scanner, un servicio gratuito de análisis de vulnerabilidades impulsado por IA para proyectos de código abierto. La herramienta utiliza Claude Mythos para realizar auditorías de seguridad automáticas sin intervención humana, identificando más de 29.000 vulnerabilidades candidatas, de las cuales 6.000 han sido reportadas, resultando en 584 advisories. Anthropic no impone un período de divulgación de 90 días para los reportes generados por el modelo, aunque podría hacerlo en el futuro para vulnerabilidades de alta severidad validadas manualmente.
El programa OSS Scanner es un servicio opt-in que utiliza la experiencia de Anthropic en Project Glasswing para automatizar la búsqueda de vulnerabilidades en software crítico. Los mantenedores de proyectos pueden inscribirse mediante un pull request en el repositorio de GitHub del scanner, proporcionando un archivo YAML con la ruta del repositorio, contactos de correo y un Dockerfile que configura el entorno de ejecución aislado, permitiendo al agente IA realizar auditorías sin acceso a Internet.
Anthropicident ificó más de 29.000 vulnerabilidades candidatas en proyectos importantes, de las cuales más de 6.000 fueron reportadas a mantenedores, generando 584 advisories hasta octubre de 2026. El enfoque difiere de otros programas de reporte de vulnerabilidades al no imponer divulgación obligatoria de 90 días, debido al riesgo de falsos positivos, aunque Anthropic reserva la opción de aplicar este período en futuro para reportes de alta severidad validados manualmente. Esta iniciativa se alinea con el programa Critical Infrastructure Defense Program de Anthropic, orientado a equipar defensores con herramientas para acelerar correcciones y desarrollar arquitecturas más seguras.
Puntos clave
- Más de 29.000 vulnerabilidades candidatas identificadas, 6.000 reportadas y 584 advisories generados
- Sin período de divulgación obligatorio de 90 días para reportes generados por IA, solo para validados manualmente
- Los mantenedores se inscriben con pull request, repositorio de código y Dockerfile en entorno aislado sin Internet
- Claude Mythos genera reportes automáticos sin revisión humana, aunque pueden validarse manualmente después