Anthropic lanza OSS Scanner, un escáner de vulnerabilidades gratuito para código abierto

Anthropic ha abierto el acceso a OSS Scanner, un escáner de vulnerabilidades gratuito para proyectos de código abierto. Tras seis meses de escaneo intensivo, la compañía descubrió 29.000 candidatas a vulnerabilidades, pero la revisión y clasificación manual se convirtieron en el cuello de botella: solo se procesaron a mano 6.000 informes. Aun así, la falta de recursos no frenó la difusión de los hallazgos: los mantenedores a menudo pedían recibir todos los informes de golpe, incluso sin verificar. Hasta ahora, 5.000 informes se han enviado directamente a los mantenedores a petición suya. Ahora Anthropic ofrece una vía más rápida: OSS Scanner funciona en modo fast-track, generando informes al instante tras la detección, sin validación manual.

Escala y calidad de los hallazgos

Los resultados de Anthropic en el benchmark NDCVE muestran que los modelos de lenguaje han mejorado notablemente su capacidad para encontrar vulnerabilidades: de menos del 20% a principios del año pasado a más del 85% este año. Expertos en pruebas de penetración revisaron 97 vulnerabilidades críticas y de alta severidad de OSS Scanner en 48 proyectos distintos. Los resultados son alentadores: 85 informes (88%) cumplían con los estándares del proceso CVD de Anthropic.

De los 12 restantes, 11 duplicaban problemas ya conocidos y solo uno se consideró un falso positivo, esencialmente un error del algoritmo. Los informes iniciales incluían cientos de reportes de errores, algunos de los cuales se pudieron encadenar para lograr ejecución remota de código no autenticada en los proyectos probados.

Los informes se generarán completamente con el modelo, sin revisión humana, lo que acelera el escaneo pero implica que algunos hallazgos podrían ser incorrectos o no aplicables al contexto del proyecto. Para lograr la máxima capacidad, Anthropic utiliza sus modelos más potentes, incluido Claude Mythos.

Opiniones de proyectos de alto perfil

Anthropic dedicó semanas a validar el pipeline con decenas de proyectos de código abierto, recabando comentarios concretos:

Noah Misch (PostgreSQL): «OSS Scanner encontró una cantidad inusualmente alta de defectos en PostgreSQL. Varios informes llegaron con correcciones casi listas para usar tal cual. El acceso fast-track nos permitió resolver nuevos problemas antes del lanzamiento de la versión GA».

Anton Arapov (OpenSSL Corporation): «Los primeros informes de IA, hace 18 meses, antes del Project Glasswing, eran terribles. Los informes de Anthropic, incluso en su forma bruta, son tan buenos o mejores que los de humanos. Cuando un informe llega con un exploit listo, para un ingeniero es prácticamente una solución terminada».

Todd Ouska (wolfSSL): «La calidad de la señal es alta: de 74 informes recibidos, todos salvo dos son válidos, y cinco se convirtieron en CVE. Con los parches adjuntos, los informes se integran de inmediato en nuestro proceso de revisión y corrección. Queremos más».

Eddie Kohler (HotCRP): «Los informes son detallados y claros, con una fuerte comprensión del complejo modelo de permisos de HotCRP y una buena priorización de los problemas».

Daniel Stenberg (curl): «Usamos todas las herramientas de última generación disponibles para encontrar problemas y reforzar nuestros productos. OSS Scanner nos ayudó a encontrar varios problemas en curl que merecía la pena resolver, incluida una de las peores vulnerabilidades reportadas en los últimos años».

Los informes incluyen reproductores autocontenidos, una explicación de la vulnerabilidad (incluida una bisección para determinar el momento en que se introdujo el error) y parches propuestos.

Proceso y programas adicionales

Anthropic se inspiró en el éxito de OSS-Fuzz, un proyecto que escanea código abierto en busca de vulnerabilidades mediante fuzzers. El propio OSS Scanner sigue un principio similar, pero usa modelos de lenguaje en lugar de herramientas de análisis dinámico.

La compañía seguirá enviando informes verificados manualmente a través de su proceso existente de divulgación coordinada de vulnerabilidades (CVD), especialmente para proyectos sin recursos para clasificarlos por su cuenta. Pero la opción fast-track ya está disponible para cualquiera que quiera reaccionar rápido ante los hallazgos.

Los mantenedores principales de proyectos elegibles pueden registrarse enviando un pull request al repositorio de Anthropic, usando la plantilla estándar. Los proyectos son elegibles según los criterios de OSS-Fuzz: deben tener «un impacto crítico en la infraestructura y la seguridad de los usuarios», y la decisión se toma caso por caso.

Además, hay disponibles estos programas:

• Cyber Verification Program: ofrece capacidades cibernéticas avanzadas y clasificadores de bloqueo reducidos para profesionales de seguridad que cumplan los requisitos. • Suscripciones a Claude Max 20x: gratuitas para quienes ayuden a corregir vulnerabilidades y mejorar proyectos de código abierto.