Anthropic ha lanzado OSS Scanner, un escáner de vulnerabilidades gratuito y opt-in para proyectos de código abierto críticos. El Anthropic OSS Scanner ejecuta los modelos más potentes de la empresa, incluyendo Claude Mythos, contra los códigos de los proyectos inscritos. Los informes se envían directamente a los mantenedores sin revisión humana. Este método permite obtener resultados más rápidos, pero desplaza la tarea de clasificación a los equipos de proyecto. 11 días después del lanzamiento el 8 de octubre, Anthropic reportó 77 hallazgos críticos y 803 hallazgos de alto nivel en los modelos.
TL;DR
- Escala: 114 proyectos aceptados de aproximadamente 650 solicitudes, a fecha de 19 de octubre.
- Funciona en: la infraestructura de Anthropic, gratis. Los mantenedores proporcionan un Dockerfile; las auditorías se realizan en una máquina virtual aislada sin conexión a Internet.
- Rendimiento: 85 de las 97 observaciones críticas y de alto nivel auditadas (88%) cumplieron con el umbral de divulgación de Anthropic.
- Mejor: Solo 1 de las 97 conclusiones auditadas fue un falso positivo. WolfSSL indica que 72 de las 74 denuncias eran válidas.
- Peor: Sin revisión humana antes de la entrega. 11 de las 97 observaciones auditadas reproducían problemas ya conocidos; los mantenedores informan de una severidad exagerada.
¿Qué es el Anthropic OSS Scanner?
OSS Scanner es una aplicación gratuita de Anthropic que audita periódicamente los repositorios de código abierto con sus modelos más potentes. El equipo Frontier Red Team y Safeguards Research lo ejecutan juntos. Su diseño toma inspiración de Google’s OSS-Fuzz, pero reemplaza los fuzzers por modelos de lenguaje.
El objetivo principal es un cuello de botella en la revisión. En 6 meses, los modelos de Anthropic revelaron más de 29,000 vulnerabilidades potenciales. Los revisores humanos clasificaron aproximadamente 6,000 de ellas. Casi 5,000 informes más fueron enviados directamente a los mantenedores, quienes solicitaron todo, estuviera validado o no. OSS Scanner convierte esa solicitud ad hoc en un programa opt-in.
¿Cómo funciona OSS Scanner?
Los mantenedores principales se inscriben abriendo un pull request en anthropics/oss-scanner. El PR añade projects/<project>/project.yaml, basado en el modelo de proyecto.
- Campos requeridos:
repo,primary_contacty una ruta para el Dockerfile. - Campos opcionales:
threat_model,pgppara informes encriptados,auto_ccs,homepageydisabled.
El Dockerfile construye el proyecto con acceso a la red. Luego, la máquina virtual se traslada a una red sin Internet para la auditoría. Los agentes en la cadena de pipelines verifican dos veces los errores, realizan análisis de causa raíz y proponen parches.
Cada informe contiene un reproductor autónomo y una explicación del error. Cuando es posible, incluye una bisectación del commit que lo introdujo. Se adjunta un parche candidato cuando esté disponible.
Un threat_model.md opcional define entradas adversariales, código fuera del alcance y una rúbrica de severidad. Sin él, el escáner adivina.
¿Qué tan precisos son los informes del OSS Scanner?
El equipo de Anthropic pidió a sus probadores de penetración verificar 97 hallazgos críticos y importantes en 48 proyectos.
- 85 (88%) cumplió con los requisitos del proceso de revelación coordinada de vulnerabilidades de Anthropic (CVD).
- 11 eran reales, pero eran problemas conocidos duplicados u otros hallazgos del escaneo.
- 1 era inválido.
Los datos del mantenedor siguen en la misma dirección. wolfSSL recibió 74 informes; todos, excepto 2, eran válidos, y 5 se convirtieron en CVEs. curl se reparó en CVE-2026-92392, un error de alto riesgo en HTTP/2 durante el uso después de liberar memoria. Afecta a curl desde la versión 8.12.0 hasta la 8.22.0 y está solucionado en la versión 8.23.0, lanzada el 14 de octubre de 2026.
Anthropic relaciona el tiempo con el progreso en los benchmarks. En CyberGym, las LLMs pasaron de encontrar menos del 20% de vulnerabilidades a más del 85%. Su tablero de control CVD muestra 6,157 vulnerabilidades reveladas en 591 proyectos, a fecha del 2 de octubre. De ellas, 516 han sido corregidas.
Escáner OSS contra otros programas de seguridad de código abierto
| Característica | Escáner de OSS de Anthropic | Google OSS-Fuzz | Codex de OpenAI para OSS | Google DeepMind CodeMender |
|---|---|---|---|---|
| Aproximación | Agentes de LLM (Claude Mythos y otros) auditan la fuente | Fuzzing: libFuzzer, AFL++, Honggfuzz más sanitizers | Agente de seguridad Codex, operado por mantenedores aprobados | El agente Gemini Deep Think encuentra y corrige errores |
| Costo para los mantenedores | Gratis; Anthropic cubre todo el costo | Gratis | Los mantenedores aprobados reciben ChatGPT Pro, créditos de API y acceso condicional a la seguridad del Codex | No divulgado |
| Inscripción | PR con project.yaml y Dockerfile | Anuncio de publicidad con archivos del proyecto para google/oss-fuzz | Aplicación, revisada por OpenAI | No divulgado (proyecto de investigación) |
| Revisión humana antes de que el mantenedor la vea | No | No divulgado | El mantenedor ejecuta y revisa los escaneos | Sí, cada parche antes de upstream |
| Informe contenido | Reproductor, explicación, bisectación, parche candidato | Informes de caída con reproductores | Hallazgos con validación y parches | Parches enviados hacia arriba |
| Plazo de entrega de la información | Ninguno en hallazgos no verificados | 90 días o corregir la versión, más 14 días de gracia | No divulgado | No divulgado |
| Registro publicado | 77 hallazgos críticos + 803 hallazgos de alta calificación del modelo en 11 días | 13,000+ vulnerabilidades, 50,000 errores, 1,000 proyectos (mayo de 2025) | 14 CVEs en proyectos de OSS | 72 correcciones de seguridad subidas en el flujo de trabajo (octubre 2025) |
| Datos de precisión | 88% de los 97 objetos críticos/altos auditados son válidos | No divulgado | Los falsos positivos se redujeron en 50%+ en la versión beta | No divulgado |
Fuentes: Directrices de divulgación de errores en OSS-Fuzz, Seguridad del Codex de OpenAI, CodeMender de DeepMind.
Conclusiones clave
- OSS Scanner ofrece auditorías gratuitas de Claude Mythos para proyectos críticos de código abierto.
- Los informes no pasan por revisión humana; el 88% de las 97 observaciones críticas/altas auditadas eran válidas.
- Primeros 11 días: 77 hallazgos críticos y 803 hallazgos de alto nivel en la evaluación del modelo.
- La inscripción es un PR con un Dockerfile; las auditorías se realizan de forma offline.
- No se aplica el plazo de 90 días para los hallazgos no validados.
Revisa el artículo de lanzamiento, la Preguntas frecuentes sobre OSS Scanner y el repositorio de GitHub. También, no dudes en seguirnos en Twitter y, no olvides, unirte a nuestro subreddit de 150 000+ ML y suscribirte a nuestro boletín informativo. ¡Espera! ¿Estás en Telegram? Ahora puedes unirte a nosotros en Telegram también.
¿Necesita asociarse con nosotros para promocionar su repositorio de GitHub, página de Hugging Face, lanzamiento de producto o webinario, etc.? Conéctese con nosotros
El artículo Anthropic lanza OSS Scanner, un escáner gratuito de vulnerabilidades de IA apareció primero en MarkTechPost.