Anthropic Lanza un Escáner de Vulnerabilidades Gratuito para Software de Código Abierto

Anthropic ha lanzado un servicio gratuito para encontrar vulnerabilidades en software de código abierto, llamado OSS Scanner. Está destinado a proyectos que deseen participar voluntariamente en el programa y recibir revisiones periódicas utilizando los potentes modelos de la compañía, en particular Claude Mythos. El servicio se basa en la experiencia adquirida del proyecto Glasswing. A diferencia del producto comercial Claude Security, OSS Scanner se centra en ayudar a los desarrolladores de código abierto y ofrece auditorías gratuitas. En los últimos seis meses, Anthropic ha utilizado sus nuevos modelos para revisar proyectos de software significativos. Durante estas revisiones, se identificaron más de 29,000 posibles vulnerabilidades, de las cuales los especialistas pudieron verificar y priorizar manualmente solo alrededor de 6,000.

Los desarrolladores de código abierto están solicitando cada vez más que se les envíen todos los problemas identificados, incluso si aún no han sido verificados. En el lanzamiento de OSS Scanner, Anthropic envió a los mantenedores casi 5,000 de estos informes con sugerencias para soluciones. El escáner generará informes automáticamente, permitiendo un escaneo más rápido de los proyectos; sin embargo, Anthropic advierte que los resultados pueden contener falsos positivos, duplicados o evaluaciones de severidad incorrectas. Antes del lanzamiento, OSS Scanner fue probado en docenas de proyectos de código abierto, resultando en varios cientos de informes de errores. Tras una revisión adicional de 97 hallazgos críticos y de alto riesgo en 48 proyectos, 85 (88%) cumplieron con los estándares de calidad. Once hallazgos fueron errores reales que duplicaban problemas ya conocidos, y uno fue un falso positivo.

Algunos mantenedores señalaron la posibilidad de sobreestimar la severidad de los problemas o de interpretar incorrectamente el modelo de amenaza de un proyecto específico. Anthropic continuará mejorando el sistema basado en los comentarios de los desarrolladores. Los informes incluirán código para reproducir la vulnerabilidad, una explicación del problema, información sobre cuándo podría haber aparecido en el código y recomendaciones para soluciones. Los mantenedores de proyectos que deseen unirse a OSS Scanner pueden postularse creando una solicitud en el repositorio de GitHub del servicio, siguiendo la plantilla estándar e instrucciones. Anthropic seleccionará proyectos basándose en los mismos criterios que OSS-Fuzz, con un enfoque en el impacto significativo en la infraestructura y la seguridad del usuario.