Anthropic lanza OSS Scanner, un escáner gratuito basado en Claude Mythos para proyectos de código abierto

Anthropic ha lanzado OSS Scanner, un servicio gratuito que revisa de forma periódica las vulnerabilidades de proyectos de código abierto. Para los mantenedores el coste es cero. El trabajo lo hacen los modelos más potentes de la compañía, incluido Claude Mythos.

La formulación del anuncio es breve, pero contiene tres rasgos relevantes. El servicio es gratuito: no se trata de un periodo de prueba ni de una tarifa recortada. Las revisiones son periódicas, así que hablamos de monitorización continua y no de una auditoría puntual antes de una versión. Y en lugar de un modelo ligero para tareas masivas, Anthropic apuesta por sus desarrollos insignia para el escaneo. Para una empresa que gana dinero con suscripciones y API, es una decisión llamativa: dedica los modelos más caros de operar a una tarea que no le genera ingresos directos.

Por qué se ha elegido el código abierto

El código abierto sustenta casi cualquier producto moderno, pero lo vigilan sobre todo voluntarios o equipos minúsculos. Heartbleed en OpenSSL en 2014 y Log4Shell en Log4j en 2021 demostraron que un solo error sin detectar en una biblioteca poco visible se convierte en un problema para cientos de miles de sistemas. Una auditoría profesional es cara. La mayoría de los proyectos nunca la recibe.

El escaneo con IA cubre precisamente ese vacío. El modelo no se cansa, lee el código completo y puede volver sobre él después de cada cambio. Para un proyecto con tres mantenedores, esto puede marcar la diferencia entre «ya lo revisaremos algún día» y «revisado la semana pasada».

Hay también una cara menos favorable. Mantenedores, entre ellos los del proyecto curl, se han quejado públicamente del flujo de informes de vulnerabilidades generados por IA y sin sentido, que hay que analizar a mano. Cualquier escáner depende de una métrica: la proporción de falsos positivos. Si los informes son precisos y reproducibles, el servicio ahorrará tiempo. Si son ruidosos, añadirá trabajo a personas que ya tienen de sobra.

Lo que no dice el anuncio

La fuente ofrece solo una descripción general y los parámetros clave siguen sin detallarse. Esto es lo que se sabe y lo que queda abierto:

• Desarrollador: Anthropic.
• Coste: gratuito.
• Periodicidad: escaneo periódico.
• Modelos: los más potentes de la compañía, incluido Claude Mythos.
• Objetivo: proyectos de código abierto.
• No se especifica: los criterios de selección de proyectos, los límites de tamaño de los repositorios, el formato de los informes ni el procedimiento de divulgación de las vulnerabilidades halladas.

El último punto es el más importante. Hasta que se publica el parche, una vulnerabilidad encontrada es un conocimiento peligroso. De quién recibe primero el informe (solo el mantenedor o también Anthropic) y de qué plazos de divulgación se apliquen dependerá que el servicio sea una protección o una fuente de riesgo.

Qué deben hacer mantenedores y empresas

Los mantenedores deberían averiguar con antelación las condiciones de conexión y comprobar que los informes llegan por un canal privado, por ejemplo mediante los security advisories privados de la plataforma de alojamiento de código. Conviene validar los primeros resultados en un módulo pequeño y calcular aparte la proporción de hallazgos reproducibles. Ese recuento mostrará la utilidad real más rápido que cualquier declaración.

A las empresas cuyo producto se apoya en código abierto les conviene cruzar su lista de dependencias con los proyectos que se incorporen al servicio. Si una biblioteca clave se revisa de forma periódica, el riesgo baja. Pero mientras se desconozcan la profundidad del análisis y la proporción de errores omitidos, esta revisión no sustituye a la auditoría propia ni a la monitorización de CVE.

La pregunta principal para los próximos meses: cuántas vulnerabilidades reales encontrará el servicio y cuánto tiempo restará a las personas que tendrán que analizarlas.