Anthropic lance OSS Scanner, un scanner de vulnérabilités gratuit pour le logiciel libre

Anthropic ouvre l'accès à OSS Scanner, un scanner de vulnérabilités gratuit destiné aux projets open source. Après six mois de scan intensif, l'entreprise a repéré 29 000 vulnérabilités candidates, mais la vérification et le tri manuels sont devenus le goulot d'étranglement : seuls 6 000 rapports ont été traités à la main. Ce manque de ressources n'a pourtant pas freiné la diffusion des résultats — les mainteneurs demandaient souvent à recevoir l'ensemble des rapports immédiatement, même non vérifiés. À ce jour, 5 000 rapports ont été envoyés directement aux mainteneurs, à leur demande. Anthropic propose désormais une voie rapide : OSS Scanner fonctionne en mode fast-track, générant des rapports instantanément dès la détection, sans validation manuelle.

L'ampleur et la qualité des découvertes

Sur le benchmark NDCVE, Anthropic constate que les modèles de langage ont considérablement amélioré leur capacité à détecter des vulnérabilités : de moins de 20 % en début d'année dernière à plus de 85 % cette année. Des experts en tests d'intrusion ont examiné 97 vulnérabilités critiques ou graves issues d'OSS Scanner, sur 48 projets différents. Les résultats sont probants : 85 rapports (88 %) respectaient les standards du processus CVD d'Anthropic.

Sur les 12 restants, 11 faisaient doublon avec des problèmes déjà connus, et un seul a été jugé faux positif — une erreur de l'algorithme, donc. Les rapports initiaux comportaient des centaines de signalements de bugs, dont certains ont pu être chaînés pour aboutir à de l'exécution de code à distance non authentifiée sur les projets testés.

Les rapports seront désormais entièrement générés par le modèle, sans vérification humaine — ce qui accélère le scan, mais implique que certaines découvertes peuvent être erronées ou inapplicables au contexte du projet. Pour une puissance maximale, Anthropic mobilise ses modèles les plus performants, dont Claude Mythos.

Les retours des projets à fort impact

Anthropic a consacré plusieurs semaines à valider son pipeline avec des dizaines de projets open source, recueillant des retours précis :

Noah Misch (PostgreSQL) : « OSS Scanner a mis au jour un nombre inhabituellement élevé de défauts dans PostgreSQL. Plusieurs rapports arrivaient avec des correctifs quasiment utilisables tels quels. L'accès fast-track nous a permis de traiter de nouveaux problèmes avant la sortie de la version GA. »

Anton Arapov (OpenSSL Corporation) : « Les premiers rapports générés par IA, il y a 18 mois, avant le Project Glasswing, étaient catastrophiques. Les rapports d'Anthropic, même en sortie brute du modèle, sont aussi bons voire meilleurs que ceux produits par des humains. Quand le rapport arrive avec un exploit prêt à l'emploi, c'est pour l'ingénieur une solution quasiment clé en main. »

Todd Ouska (wolfSSL) : « Le signal est de grande qualité : sur 74 rapports reçus, seuls deux ne sont pas valides, et cinq ont débouché sur des CVE. Avec les correctifs joints, ces rapports s'intègrent immédiatement à notre processus de vérification et de correction. Nous en voulons davantage. »

Eddie Kohler (HotCRP) : « Les rapports sont détaillés et clairs, avec une bonne compréhension du modèle de permissions complexe de HotCRP et une priorisation pertinente des problèmes. »

Daniel Stenberg (curl) : « Nous utilisons tous les outils de pointe disponibles pour détecter les problèmes et renforcer nos produits. OSS Scanner nous a permis de trouver plusieurs failles valant la peine d'être corrigées dans curl, dont l'une des pires vulnérabilités signalées ces dernières années. »

Les rapports contiennent des cas de reproduction autonomes, une explication de la vulnérabilité (incluant une bissection pour déterminer le moment précis où le bug a été introduit) et des correctifs proposés.

Processus et programmes complémentaires

Anthropic s'est inspirée du succès d'OSS-Fuzz, un projet qui scanne le code open source à la recherche de vulnérabilités à l'aide de fuzzers. OSS Scanner suit un principe similaire, mais s'appuie sur des modèles de langage plutôt que sur des outils d'analyse dynamique.

L'entreprise continuera d'envoyer les rapports vérifiés manuellement via son processus existant de divulgation coordonnée des vulnérabilités (CVD), en particulier pour les projets qui ne disposent pas des ressources nécessaires pour effectuer leur propre tri. Mais l'option fast-track est désormais ouverte à tous ceux qui souhaitent réagir rapidement aux découvertes.

Les mainteneurs principaux des projets éligibles peuvent s'inscrire en soumettant une pull request au dépôt d'Anthropic, en utilisant le modèle standard. Les projets deviennent éligibles sur la base des critères d'OSS-Fuzz : ils doivent avoir « un impact critique sur l'infrastructure et la sécurité des utilisateurs », la décision étant prise au cas par cas.

Deux programmes supplémentaires sont disponibles :

• Cyber Verification Program — offre des capacités cyber avancées et des classificateurs de blocage réduits aux professionnels de la sécurité éligibles. • Abonnements Claude Max 20x — gratuits pour aider à corriger les vulnérabilités et améliorer les projets open source.