Anthropic lanza OSS Scanner: análisis de vulnerabilidades con IA, gratuito y sin humanos

Anthropic ha lanzado OSS Scanner, un servicio de búsqueda de vulnerabilidades para proyectos open source. El precio para los mantenedores es cero, y el número de personas en el ciclo de revisión, también. Los proyectos que presenten su solicitud recibirán «revisiones de seguridad exhaustivas y periódicas» a cargo de los modelos más potentes de la compañía. Todos los informes los generará la IA, sin revisión manual ni triaje.

Cómo funciona

El servicio se basa en la participación voluntaria. El mantenedor deja su solicitud en la página red.anthropic.com y su repositorio entra en la cola de escaneo regular. No se trata de una auditoría puntual: Anthropic promete periodicidad, es decir, el código se vuelve a revisar una y otra vez a medida que cambia.

En el anuncio, la compañía subraya que emplea sus modelos más potentes, la misma tecnología que suele reservar para clientes de pago e investigación interna. Para los proyectos pequeños, que no tienen presupuesto para una auditoría comercial ni un equipo de seguridad dedicado, es una oportunidad de recibir una señal sobre un problema antes de que lo encuentre un atacante.

Parámetros clave del servicio:

• Coste: gratis para los proyectos participantes
• Modo de incorporación: opt-in, solo previa solicitud del mantenedor
• Frecuencia: nuevos escaneos periódicos
• Motor: los modelos más potentes de Anthropic
• Revisión humana: no existe; los informes los genera íntegramente el modelo
• Riesgo conocido: parte de los informes puede ser incorrecta o inválida

El precio de la velocidad: informes sin revisión

La principal salvedad del servicio es que Anthropic no oculta la ausencia de personas en el proceso. El anuncio dice expresamente que los resultados del escáner serán creados íntegramente por el modelo, sin revisión humana ni triaje. Según la compañía, eso permite escanear con mayor rapidez y frecuencia. En el mismo texto admite que los informes pueden ser incorrectos.

Para el open source, esta salvedad es fundamental. Los mantenedores, a menudo voluntarios, llevan tiempo quejándose del flujo de avisos automáticos de vulnerabilidades de baja calidad. Cada informe falso les quita un tiempo que ya les falta. Por eso el formato opt-in resulta lógico: solo soportan la carga quienes la han aceptado. Pero el problema del triaje no ha desaparecido; simplemente se ha trasladado al lado del proyecto. Alguien tiene que distinguir una brecha real de una alucinación del modelo.

Otra cuestión es cómo gestionará Anthropic los problemas encontrados. De la descripción disponible solo se desprende que los informes se envían sin filtrado manual. Los detalles del proceso de divulgación conviene buscarlos en la página del servicio.

Su lugar en el panorama general

La búsqueda de vulnerabilidades con IA ya es una línea de trabajo propia. Google desarrolla Big Sleep y OpenAI ha mostrado el agente Aardvark. Anthropic sigue el mismo camino, pero apuesta por el alcance. En lugar de pilotos cerrados con socios selectos, abre un registro masivo para cualquier proyecto que quiera participar. Para la compañía, además, es una demostración de la utilidad práctica de sus modelos en seguridad. Para el ecosistema, es un intento de cubrir el déficit de experiencia allí donde nadie puede pagar una auditoría.

Quién debería apuntarse y cómo

Si mantienes un proyecto open source, conviene plantearse presentar la solicitud, sobre todo si nunca ha tenido una auditoría. El escaneo periódico gratuito apenas supone un coste y, en el mejor de los casos, detectará una vulnerabilidad real antes de que aparezca un exploit público.

El orden práctico es este:

1. Reserva tiempo para el triaje. Cada informe debe reproducirse manualmente antes de considerarlo un problema real. 2. Decide quién en el equipo se encarga de analizar los informes y acuerda las prioridades de antemano. 3. No sustituyas con el escáner las prácticas existentes: la revisión de código, el análisis estático, el control de dependencias y el fuzzing se mantienen. 4. Comprueba qué condiciones de acceso al repositorio y de tratamiento de los resultados se declaran en la página del servicio, especialmente en el caso de proyectos cerrados o sensibles.

La conclusión general es sencilla. Anthropic ofrece una fuente barata y rápida de señales de seguridad. La decisión final sobre qué señal es auténtica sigue tomándola una persona.