Anthropic lanza Cyber Mission: un escáner de vulnerabilidades con IA, gratuito y con una precisión superior al 90%

Anthropic ha lanzado el programa Cyber Mission, que combina dos líneas de trabajo: la protección de la infraestructura crítica y la revisión de software de código abierto en busca de vulnerabilidades. Los socios son CrowdStrike y Palo Alto Networks, que ayudarán a proteger las redes eléctricas y los sistemas de suministro de agua. Para los proyectos open source, la compañía ha publicado un escáner de IA gratuito que busca vulnerabilidades de forma automática. La precisión esperada que se ha anunciado es superior al 90%. Lo informa The Decoder.

Dos tareas bajo un mismo nombre

El programa aborda problemas que suelen pertenecer a ámbitos distintos. Las redes eléctricas y las compañías de agua son sistemas industriales con ciclos de actualización largos y un alto coste de parada. Las bibliotecas open source son el código sobre el que se sostiene casi cualquier software moderno, aunque las mantienen equipos pequeños y, a menudo, voluntarios individuales. Anthropic reúne ambas líneas en una sola iniciativa y apuesta por que los modelos de IA leen bien el código y encuentran errores en él.

El papel de los socios es el siguiente: CrowdStrike y Palo Alto Networks son empresas con experiencia en detección de amenazas y respuesta a incidentes. Aportan conocimiento en sectores en los que la propia Anthropic no tiene experiencia operativa. Los primeros comunicados no detallan cómo se reparten las tareas entre los participantes.

Qué se sabe del escáner

El escáner trabaja con proyectos abiertos de forma automática y gratuita. Estos son los parámetros clave que se han podido confirmar:

• Nombre del programa: Cyber Mission.
• Socios: CrowdStrike, Palo Alto Networks.
• Objetivos: infraestructura crítica (redes eléctricas, suministro de agua) y proyectos open source.
• Coste del escáner para open source: gratuito.
• Precisión esperada en la detección de vulnerabilidades: superior al 90%.

La palabra «esperada» es importante aquí. No es el resultado de una prueba independiente, sino una referencia anunciada en el lanzamiento. No se sabe con qué conjunto de datos se hizo la evaluación. Tampoco está claro qué se entiende exactamente por precisión: la proporción de vulnerabilidades reales encontradas o la proporción de aciertos entre todas las detecciones. Para un escáner de código, la diferencia es fundamental. Los mantenedores desactivarán enseguida una herramienta que encuentra casi todo pero se ahoga en falsas alarmas.

Tampoco se ha revelado el modelo en el que se basa el escáner. Las condiciones de acceso, los límites de tamaño del repositorio y el procedimiento para divulgar las vulnerabilidades encontradas tampoco están descritos por ahora.

Por qué los falsos positivos lo deciden todo

En los proyectos open source, el principal recurso escaso es el tiempo de las personas, no las herramientas. Alguien tiene que leer cada informe del escáner, reproducirlo y cerrarlo. Incluso con una precisión del 90%, en una base de código grande quedan decenas de hallazgos dudosos. Si el modelo acompaña cada hallazgo con una descripción clara, un ejemplo de explotación y una propuesta de corrección, el escáner ahorrará horas. Si solo emite advertencias genéricas, generará carga adicional.

La segunda cuestión es la responsabilidad en la divulgación. La búsqueda automática de vulnerabilidades es igual de útil para defensores y atacantes. Cómo gestionará Anthropic las vulnerabilidades encontradas antes de que salgan los parches se sabrá con la práctica del programa.

Cómo abordar la herramienta en la práctica

Lo razonable para los mantenedores de proyectos abiertos es ejecutar el escáner en un repositorio no crítico y comparar el resultado con su lista de problemas conocidos y con la salida de los analizadores estáticos habituales. Así se puede medir la proporción de falsos positivos antes de integrarlo en el CI.

Los equipos de seguridad de las empresas que dependen de open source deberían comprobar cuáles de sus dependencias clave quedarán cubiertas por la revisión y pedir a Anthropic la metodología con la que se calculó ese 90% anunciado. A los operadores de infraestructura les conviene más esperar a que se describa qué servicios concretos prestarán los socios en el marco del programa. Por ahora es una declaración de intenciones con una sola cifra concreta, y habrá que comprobarla con código real.