Anthropic lance OSS Scanner, un scanner gratuit propulsé par Claude Mythos pour l'open source

Anthropic a lancé OSS Scanner, un service gratuit qui vérifie régulièrement la présence de vulnérabilités dans les projets open source. Le coût pour les mainteneurs est nul. Le travail est effectué par les modèles les plus puissants de l'entreprise, dont Claude Mythos.

La formulation de l'annonce est brève, mais elle contient trois éléments importants. Le service est gratuit : il ne s'agit ni d'une période d'essai ni d'une offre au rabais. Les analyses sont régulières : c'est une surveillance continue, pas un audit ponctuel avant une release. Enfin, plutôt qu'un modèle allégé pour les tâches de masse, Anthropic mise sur ses modèles phares pour le scan. Pour une entreprise qui gagne sa vie avec des abonnements et son API, la décision est notable : les modèles les plus coûteux à exploiter sont affectés à une tâche qui ne génère aucun revenu direct.

Pourquoi cibler l'open source

Le code ouvert sous-tend presque tous les produits modernes, mais il est surveillé surtout par des bénévoles ou de minuscules équipes. Heartbleed dans OpenSSL en 2014 et Log4Shell dans Log4j en 2021 ont montré qu'une seule faille non détectée dans une bibliothèque discrète peut devenir un problème pour des centaines de milliers de systèmes. Un audit professionnel coûte cher. La plupart des projets n'en bénéficient jamais.

Le scan par IA comble précisément ce vide. Le modèle ne se fatigue pas, lit le code dans son intégralité et peut y revenir après chaque modification. Pour un projet de trois mainteneurs, cela peut faire la différence entre « on vérifiera un jour » et « vérifié la semaine dernière ».

Il y a aussi un revers. Des mainteneurs, notamment ceux du projet curl, se sont publiquement plaints du flot de rapports de vulnérabilités générés par IA, absurdes et à trier à la main. Tout scanner se heurte à une seule métrique : le taux de faux positifs. Si les rapports sont précis et reproductibles, le service fera gagner du temps. S'ils sont bruyants, il ajoutera du travail à des personnes qui en ont déjà trop.

Ce que l'annonce ne dit pas

La source ne fournit qu'une description générale, et les paramètres clés ne sont pas encore dévoilés. Voici ce que l'on sait et ce qui reste ouvert :

• Développeur : Anthropic.
• Coût : gratuit.
• Fréquence : scan régulier.
• Modèles : les plus puissants de l'entreprise, dont Claude Mythos.
• Cible : projets open source.
• Non précisé : critères de sélection des projets, limites de taille des dépôts, format des rapports, procédure de divulgation des vulnérabilités découvertes.

Le dernier point est le plus important. Tant que le correctif n'est pas publié, une vulnérabilité découverte devient une information dangereuse. Selon qui reçoit le rapport en premier (le seul mainteneur ou aussi Anthropic) et selon les délais de divulgation appliqués, le service sera une protection ou une source de risque.

Que doivent faire mainteneurs et entreprises

Les mainteneurs gagneraient à se renseigner à l'avance sur les conditions de raccordement et à s'assurer que les rapports arrivent par un canal privé, par exemple les security advisories privées de la plateforme d'hébergement du code. Mieux vaut tester les premiers résultats sur un petit module et calculer à part la part de découvertes reproductibles. Ce calcul montrera l'utilité réelle plus vite que n'importe quelle déclaration.

Les entreprises dont le produit repose sur l'open source ont intérêt à comparer leur liste de dépendances avec les projets qui seront raccordés au service. Si une bibliothèque clé est vérifiée régulièrement, le risque diminue. Mais cette vérification ne remplace ni un audit interne ni la surveillance des CVE tant que la profondeur d'analyse et la proportion d'erreurs non détectées restent inconnues.

La question principale des prochains mois : combien de vulnérabilités réelles le service trouvera-t-il, et combien de temps fera-t-il perdre aux personnes chargées de les examiner.