Anthropic lança OSS Scanner gratuito baseado no Claude Mythos para projetos open source

A Anthropic lançou o OSS Scanner, um serviço gratuito que verifica com regularidade se há vulnerabilidades em projetos de código aberto. O custo para os mantenedores é zero. O trabalho é feito pelos modelos mais poderosos da empresa, incluindo o Claude Mythos.

O texto do anúncio é curto, mas traz três pontos relevantes. O serviço é gratuito, ou seja, não se trata de período de teste nem de plano limitado. As verificações são regulares, então o que existe é monitoramento contínuo, e não uma auditoria pontual antes do lançamento de uma versão. E, em vez de um modelo leve para tarefas em massa, a Anthropic escala seus modelos de ponta para a varredura. Para uma empresa que ganha dinheiro com assinaturas e API, a decisão chama atenção: os modelos mais caros de operar são destinados a uma tarefa que não gera receita direta.

Por que o open source foi escolhido como alvo

O código aberto está na base de quase todo produto moderno, mas quem cuida dele são, em geral, voluntários ou equipes minúsculas. O Heartbleed, no OpenSSL, em 2014, e o Log4Shell, no Log4j, em 2021, mostraram que um único erro não detectado em uma biblioteca pouco visível pode virar problema para centenas de milhares de sistemas. Uma auditoria profissional custa caro. A maioria dos projetos nunca passa por uma.

A varredura com IA preenche justamente essa lacuna. O modelo não se cansa, lê o código inteiro e pode voltar a ele a cada alteração. Para um projeto com três mantenedores, isso pode ser a diferença entre "um dia a gente revisa" e "revisado na semana passada".

Há também o outro lado. Mantenedores, incluindo os do projeto curl, já reclamaram publicamente do fluxo de relatórios de vulnerabilidade sem sentido gerados por IA, que precisam ser analisados manualmente. Qualquer scanner esbarra em uma métrica: a taxa de falsos positivos. Se os relatórios forem precisos e reproduzíveis, o serviço economizará tempo. Se forem ruidosos, vai gerar mais trabalho para pessoas que já têm trabalho de sobra.

O que o anúncio não diz

A fonte traz apenas uma descrição geral, e os parâmetros-chave não foram divulgados. Veja o que se sabe e o que continua em aberto:

• Desenvolvedora: Anthropic.
• Custo: gratuito.
• Periodicidade: varredura regular.
• Modelos: os mais poderosos da empresa, incluindo o Claude Mythos.
• Alvo: projetos de código aberto.
• Não informado: critérios de seleção de projetos, limites de tamanho dos repositórios, formato dos relatórios, procedimento de divulgação das vulnerabilidades encontradas.

O último item pesa mais que os outros. Até que o patch seja lançado, uma vulnerabilidade encontrada é um conhecimento perigoso. Quem recebe o relatório primeiro (só o mantenedor ou a Anthropic também) e quais prazos de divulgação valem determinam se o serviço será uma proteção ou uma fonte de risco.

O que fazer: mantenedores e empresas

Os mantenedores devem descobrir de antemão as condições de adesão e garantir que os relatórios cheguem por um canal fechado, como os security advisories privados da plataforma de hospedagem de código. Vale checar os primeiros resultados em um módulo pequeno e contar à parte a proporção de achados reproduzíveis. Essa contagem mostra o benefício real mais rápido que qualquer declaração.

Para as empresas cujos produtos dependem de open source, é útil cruzar a lista de dependências com os projetos que aderirem ao serviço. Se uma biblioteca essencial for verificada com regularidade, o risco diminui. Mas essa verificação não substitui a auditoria própria nem o monitoramento de CVEs enquanto a profundidade da análise e a taxa de erros não detectados forem desconhecidas.

A principal pergunta para os próximos meses: quantas vulnerabilidades reais o serviço vai encontrar e quanto tempo vai consumir das pessoas que terão de analisá-las.