Anthropic lance OSS Scanner, un service gratuit, après 29 000 failles détectées par l'IA

Anthropic lance OSS Scanner, un service fondé sur le volontariat dans lequel les modèles les plus puissants de l'entreprise, dont Claude Mythos, scannent périodiquement des projets open source à la recherche de vulnérabilités. Il est gratuit pour les projets. Le contexte : au cours des six derniers mois, dans le cadre du Project Glasswing, les modèles ont trouvé plus de 29 000 vulnérabilités candidates dans des projets logiciels importants. L'équipe n'a pu vérifier et trier manuellement qu'environ 6 000 d'entre elles. Pour le reste, le goulot d'étranglement tient au manque de personnes capables de confirmer les découvertes.

Pourquoi un service dédié était nécessaire

En un an et demi, la situation a radicalement changé. Sur le benchmark académique CyberGym, la part de vulnérabilités trouvées par les modèles de langage est passée de moins de 20 % début de l'année dernière à plus de 85 % cette année. Les mainteneurs, qui recevaient auparavant surtout du bruit généré par des LLM, reçoivent désormais des bugs de qualité.

À un moment, les mainteneurs ont eux-mêmes commencé à réclamer à Anthropic tout ce dont elle disposait, y compris les résultats non vérifiés, accompagnés des correctifs proposés. Près de 5 000 rapports de ce type ont déjà été envoyés directement. La logique est claire : les exploits s'écrivent désormais en quelques minutes, et l'avantage va à celui qui trouve et colmate la faille le plus vite. Les attaquants cherchent les mêmes points faibles.

La divulgation coordonnée (CVD) avec vérification manuelle ne disparaît pas. Elle reste la voie principale pour les projets qui n'ont pas les ressources de trier eux-mêmes les rapports. OSS Scanner lui ajoute une voie rapide pour ceux qui sont prêts à recevoir les résultats immédiatement.

Comment fonctionne le service

L'idée s'inspire de Google OSS-Fuzz, qui cherche des vulnérabilités dans le code ouvert à l'aide de fuzzers. OSS Scanner se distingue du produit d'entreprise Claude Security, qui vise à protéger les systèmes des sociétés, par un audit gratuit pour l'open source. La principale réserve : les résultats sont entièrement générés par le modèle, sans vérification ni tri par des humains. Cela accélère et multiplie les analyses, mais autorise des rapports erronés ou invalides.

• Modèles : les plus puissants d'Anthropic, dont Claude Mythos.
• Mode de participation : opt-in, scans périodiques.
• Contenu du rapport : code de reproduction autonome, explication de la vulnérabilité, bissection jusqu'au commit où le bug est apparu lorsque c'est possible, et correctif candidat.
• Pilote : quelques semaines sur des dizaines de projets, des centaines de rapports, dont des chaînes de vulnérabilités menant à une exécution de code à distance sans authentification.
• Coût pour les projets : gratuit.

Ce que disent les mainteneurs

Les retours des participants au pilote confirment la qualité des résultats. Noah Misch, de PostgreSQL, note qu'une proportion inhabituellement élevée des découvertes correspondait à de vrais défauts, et que certains correctifs pouvaient être appliqués presque sans modification. Le fast-track a permis de corriger des problèmes récents avant la sortie de la version GA. Anton Arapov, d'OpenSSL Corporation, rappelle que les premiers rapports d'IA, il y a un an et demi, étaient exécrables. Selon lui, les rapports d'Anthropic, y compris la sortie brute du modèle, ne sont pas moins bons que ceux des humains, et parfois meilleurs, surtout lorsqu'ils s'accompagnent d'un exploit fonctionnel vérifiable immédiatement.

Chez wolfSSL, les chiffres sont les suivants : sur 74 rapports, tous sauf deux se sont révélés valides, et cinq ont donné lieu à des CVE. Eddie Kohler, de HotCRP, a salué la compréhension du modèle de permissions complexe et la priorisation des bugs.

Pour une vérification indépendante, Anthropic a demandé à des experts en tests d'intrusion, qui relisent habituellement les découvertes dans le cadre de la CVD, d'évaluer 97 vulnérabilités critiques et de haute gravité issues de 48 projets. Le chiffre final est tronqué dans le texte disponible : mieux vaut donc s'appuyer sur les retours des participants au pilote et sur les statistiques de wolfSSL.

Que doivent faire les mainteneurs ?

Les projets dotés d'une équipe active et d'un processus de réception des rapports bien rodé ont intérêt à s'inscrire. Les rapports accompagnés d'un code de reproduction se vérifient rapidement. Mais il faut décider à l'avance qui traitera le flux et comment écarter les faux positifs, car Anthropic n'effectue ici aucune vérification humaine. Les petits projets sans ressources pour le tri feraient mieux de s'en tenir à la CVD classique avec vérification manuelle. Pour tous les autres, mieux vaut partir du principe que les attaquants disposent des mêmes capacités de modèles : le rythme des correctifs détermine désormais la sécurité.