Anthropic lance OSS Scanner : des analyses de vulnérabilités gratuites par IA, sans intervention humaine

Anthropic a lancé OSS Scanner, un service de recherche de vulnérabilités pour les projets open source. Le prix pour les mainteneurs est de zéro, et le nombre d'humains dans la boucle de vérification l'est aussi. Les projets qui en feront la demande recevront des « contrôles de sécurité périodiques approfondis » réalisés par les modèles les plus puissants de l'entreprise. Tous les rapports seront générés par l'IA, sans relecture manuelle ni triage.

Comment ça marche

Le service repose sur le volontariat. Le mainteneur dépose une demande sur la page red.anthropic.com, et son dépôt est placé dans une file d'attente pour un scan régulier. Il ne s'agit pas d'un audit ponctuel : Anthropic promet une périodicité, avec un code réexaminé encore et encore au fil de ses modifications.

Dans son annonce, l'entreprise souligne qu'elle mobilise ses modèles les plus puissants, c'est-à-dire la technologie qu'elle réserve habituellement à ses clients payants et à ses recherches internes. Pour les petits projets, qui n'ont ni budget pour un audit commercial ni équipe de sécurité dédiée, c'est une chance d'être alertés d'un problème avant qu'un attaquant ne tombe dessus.

Paramètres clés du service :

• Coût : gratuit pour les projets participants
• Mode d'adhésion : opt-in, uniquement sur demande du mainteneur
• Fréquence : scans répétés à intervalles périodiques
• Moteur : les modèles les plus puissants d'Anthropic
• Vérification humaine : aucune, les rapports sont entièrement générés par le modèle
• Risque connu : une partie des rapports peut être erronée ou invalide

Le prix de la vitesse : des rapports sans relecture

La principale réserve tient à ceci : Anthropic ne cache pas l'absence d'humains dans le processus. L'annonce l'indique explicitement : les résultats du scanner seront entièrement produits par le modèle, sans vérification humaine ni triage. Selon l'entreprise, cela permet de scanner plus vite et plus souvent. Elle admet aussi, dans le même texte, que les rapports peuvent être incorrects.

Pour l'open source, cette réserve est essentielle. Les mainteneurs, souvent bénévoles, se plaignent depuis longtemps du flux de signalements automatiques de vulnérabilités de mauvaise qualité. Chaque faux rapport leur prend un temps qui leur manque déjà. Le format opt-in paraît donc logique : seuls ceux qui ont accepté en supportent la charge. Mais le problème du triage n'a pas disparu, il a simplement changé de côté, vers le projet. Quelqu'un doit distinguer une vraie faille d'une hallucination du modèle.

Reste une question distincte : comment Anthropic traitera les problèmes détectés. La description disponible indique seulement que les rapports sont transmis sans filtrage manuel. Il faut chercher les détails du processus de divulgation sur la page du service.

Une place dans le paysage global

La recherche de vulnérabilités par IA est depuis longtemps devenue un domaine à part entière. Google développe Big Sleep, OpenAI a présenté l'agent Aardvark. Anthropic suit la même voie, mais mise sur la couverture. Au lieu de pilotes fermés avec quelques partenaires choisis, elle ouvre des inscriptions massives à tous les projets qui accepteront. Pour l'entreprise, c'est aussi une démonstration de l'utilité concrète de ses modèles en sécurité. Pour l'écosystème, c'est une tentative de combler le déficit d'expertise là où personne n'est en mesure de payer un audit.

Qui doit s'inscrire, et comment

Si vous maintenez un projet open source, la demande mérite d'être étudiée, surtout si aucun audit n'a jamais été réalisé. Un scan périodique gratuit coûte peu et, dans le meilleur des cas, révélera une vraie vulnérabilité avant la publication d'un exploit.

La marche à suivre en pratique :

1. Prévoyez du temps pour le triage. Chaque rapport doit être reproduit manuellement avant d'être considéré comme un problème réel. 2. Désignez dans l'équipe la personne chargée d'analyser les rapports et convenez des priorités à l'avance. 3. Ne remplacez pas vos pratiques existantes par le scanner : la revue de code, l'analyse statique, la gestion des dépendances et le fuzzing restent en place. 4. Vérifiez les conditions d'accès au dépôt et de traitement des résultats indiquées sur la page du service, en particulier pour les projets fermés ou sensibles.

La conclusion générale est simple. Anthropic propose une source de signaux de sécurité bon marché et rapide. La décision finale sur la validité d'un signal revient toujours à un humain.