Anthropic a lancé OSS Scanner, un scanner de vulnérabilités gratuit et sur inscription pour les projets open source critiques. L'Anthropic OSS Scanner exécute les modèles les plus puissants de l'entreprise, dont Claude Mythos, sur les bases de code inscrites. Les rapports vont directement aux mainteneurs sans relecture humaine. Ce compromis apporte des découvertes plus rapides, mais déplace le travail de triage vers les équipes de projet. 11 jours après le lancement du 8 octobre, Anthropic a signalé 77 découvertes classées critiques et 803 élevées par le modèle.
TL;DR
- Échelle : 114 projets acceptés sur environ 650 candidatures, au 19 octobre.
- Fonctionne sur : l'infrastructure d'Anthropic, gratuitement. Les mainteneurs fournissent un Dockerfile ; les audits s'exécutent dans une VM isolée sans Internet.
- Performance : 85 des 97 découvertes critiques et élevées auditées (88 %) ont atteint le seuil de divulgation d'Anthropic.
- Meilleur cas : Seule 1 des 97 découvertes auditées était un faux positif. wolfSSL indique que 72 des 74 rapports étaient valides.
- Pire cas : Aucune relecture humaine avant la livraison. 11 des 97 découvertes auditées dupliquaient des problèmes connus ; les mainteneurs signalent des sévérités surestimées.
Qu'est-ce qu'Anthropic OSS Scanner ?
OSS Scanner est une application gratuite d'Anthropic qui audite périodiquement des dépôts open source avec ses modèles les plus puissants. L' équipe Frontier Red Team and Safeguards Research l'exploite conjointement. La conception s'inspire de OSS-Fuzz de Google, mais remplace les fuzzers par des modèles de langage.
L'objectif principal est un goulot d'étranglement de relecture. Sur 6 mois, les modèles d'Anthropic ont fait remonter plus de 29,000 vulnérabilités candidates. Des relecteurs humains en ont trié environ 6,000. Près de 5,000 autres rapports sont allés directement à des mainteneurs qui demandaient tout, validé ou non. OSS Scanner transforme cette demande ad hoc en programme sur inscription.
Comment fonctionne OSS Scanner ?
Les mainteneurs principaux s'inscrivent en ouvrant une pull request sur anthropics/oss-scanner. La PR ajoute projects/<project>/project.yaml, basée sur le modèle de projet.
- Champs obligatoires :
repo,primary_contact, et un chemin de Dockerfile. - Champs optionnels :
threat_model,pgppour les rapports chiffrés,auto_ccs,homepage, etdisabled.
Le Dockerfile compile le projet avec un accès réseau. La VM passe ensuite sur un réseau sans Internet pour l'audit. Des agents dans le pipeline vérifient les bugs en double, effectuent une analyse des causes racines et proposent des correctifs.
Chaque rapport contient un reproducteur autonome et une explication du bug. Lorsque c'est possible, il inclut un bisection jusqu'au commit qui l'a introduit. Un correctif candidat est joint lorsqu'il est disponible.
Un fichier optionnel threat_model.md définit les entrées adversariales, le code hors périmètre et une grille de sévérité. Sans lui, le scanner devine.
Quelle est la précision des rapports d'OSS Scanner ?
L'équipe d'Anthropic a demandé à ses testeurs d'intrusion de vérifier 97 constatations critiques et élevées sur 48 projets.
- 85 (88%) répondaient aux critères du processus de divulgation coordonnée des vulnérabilités (CVD) d'Anthropic.
- 11 étaient réelles mais dupliquaient des problèmes connus ou d'autres résultats de scan.
- 1 était invalide.
Les données des mainteneurs vont dans le même sens. wolfSSL a reçu 74 rapports ; tous sauf 2 étaient valides, et 5 sont devenus des CVE. curl a corrigé CVE-2026-92392, une use-after-free de sévérité High lors d'un téléversement HTTP/2. Elle affecte curl 8.12.0 à 8.22.0 et est corrigée dans la version 8.23.0, publiée le 14 octobre 2026.
Anthropic relie ce calendrier aux progrès des benchmarks. Sur CyberGym, les LLM sont passés de la découverte de moins de 20 % des vulnérabilités à plus de 85 %. Son tableau de bord CVD plus large recense 6,157 vulnérabilités divulguées sur 591 projets, au 2 octobre. 516 d'entre elles sont corrigées.
OSS Scanner face aux autres programmes de sécurité open-source
| Fonctionnalité | Anthropic OSS Scanner | Google OSS-Fuzz | OpenAI Codex pour l'OSS | Google DeepMind CodeMender |
|---|---|---|---|---|
| Approche | Des agents LLM (Claude Mythos et autres) auditent le code source | Fuzzing : libFuzzer, AFL++, Honggfuzz plus sanitizers | Agent Codex Security, exécuté par des mainteneurs approuvés | L'agent Gemini Deep Think trouve et corrige des bugs |
| Coût pour les mainteneurs | Gratuit ; Anthropic couvre la totalité du coût | Gratuit | Les mainteneurs approuvés obtiennent ChatGPT Pro, des crédits API et un accès conditionnel à Codex Security | Non divulgué |
| Inscription | PR avec project.yaml et Dockerfile | PR avec les fichiers du projet vers google/oss-fuzz | Candidature, examinée par OpenAI | Non divulgué (projet de recherche) |
| Revue humaine avant que le mainteneur ne le voie | Non | Non divulgué | Le mainteneur exécute et examine les scans | Oui, chaque correctif avant l'amont |
| Contenu du rapport | Reproducteur, explication, bisection, correctif candidat | Rapports de crash avec reproducteurs | Constats avec validation et correctifs | Correctifs soumis en amont |
| Délai de divulgation | Aucun pour les constats non validés | 90 jours ou version de correction, plus un délai de grâce de 14 jours | Non divulgué | Non divulgué |
| Historique de suivi publié | 77 résultats critiques + 803 résultats classés élevés par le modèle en 11 jours | 13,000+ vulnérabilités, 50,000 bugs, 1,000 projets (mai 2025) | 14 CVE dans des projets OSS | 72 correctifs de sécurité remontés en amont (oct. 2025) |
| Données de précision | 88 % des 97 résultats critiques/élevés audités étaient valides | Non divulgué | Faux positifs réduits de plus de 50 % en version bêta | Non divulgué |
Sources : Directives de divulgation d'OSS-Fuzz, OpenAI Codex Security, DeepMind CodeMender.
Points clés à retenir
- OSS Scanner offre des audits Claude Mythos gratuits aux projets open source critiques.
- Les rapports passent outre la révision humaine ; 88 % des 97 résultats critiques/élevés audités étaient valides.
- Les 11 premiers jours : 77 résultats critiques et 803 résultats élevés classés par le modèle.
- L'inscription se fait via une PR avec un Dockerfile ; les audits s'exécutent hors ligne.
- Aucun délai de 90 jours ne s'applique aux résultats non validés.
Consultez le billet de lancement, la FAQ d'OSS Scanner et le dépôt GitHub. N'hésitez pas également à nous suivre sur Twitter et n'oubliez pas de rejoindre notre SubReddit de plus de 150k membres et de vous abonner à notre Newsletter. Attendez ! êtes-vous sur Telegram ? vous pouvez désormais nous rejoindre également sur Telegram.
Besoin de vous associer à nous pour promouvoir votre dépôt GitHub OU votre page Hugging Face OU le lancement d'un produit OU un webinaire, etc. ? Connectez-vous avec nous
L'article Anthropic Launches OSS Scanner, a Free AI Vulnerability Scanner est apparu en premier sur MarkTechPost.