Anthropic lança o OSS Scanner: varreduras gratuitas de vulnerabilidades feitas por IA, sem humanos

A Anthropic lançou o OSS Scanner, serviço de busca de vulnerabilidades para projetos open source. O preço para os mantenedores é zero, e o número de humanos no ciclo de verificação também. Os projetos que se inscreverem receberão «verificações de segurança minuciosas e periódicas» feitas pelos modelos mais fortes da empresa. Todos os relatórios serão gerados por IA, sem revisão manual nem triagem.

Como funciona

O serviço se baseia em participação voluntária. O mantenedor envia um pedido na página red.anthropic.com, e o repositório entra na fila de varreduras regulares. Não se trata de uma auditoria pontual. O que a Anthropic promete é periodicidade: o código é verificado de novo e de novo, conforme muda.

No anúncio, a empresa destaca que usa seus modelos mais fortes, ou seja, a mesma tecnologia que costuma ficar reservada a clientes pagantes e a pesquisas internas. Para projetos pequenos, sem orçamento para uma auditoria comercial nem uma equipe de segurança dedicada, é a chance de receber o alerta de um problema antes que um invasor tropece nele.

Principais parâmetros do serviço:

• Custo: gratuito para os projetos participantes
• Modo de adesão: opt-in, somente a pedido do mantenedor
• Frequência: novas varreduras periódicas
• Motor: os modelos mais fortes da Anthropic
• Verificação humana: ausente; os relatórios são totalmente gerados pelo modelo
• Risco conhecido: parte dos relatórios pode estar errada ou ser inválida

O preço da velocidade: relatórios sem revisão

A principal ressalva do serviço é que a Anthropic não esconde a ausência de pessoas no processo. O anúncio diz de forma direta que os resultados do scanner serão totalmente criados pelo modelo, sem verificação humana nem triagem. Segundo a empresa, isso permite varrer mais rápido e com mais frequência. O texto também admite que os relatórios podem estar incorretos.

Para o open source, essa ressalva é central. Mantenedores, muitas vezes voluntários, reclamam há tempos do fluxo de relatórios automáticos de baixa qualidade sobre vulnerabilidades. Cada relatório falso consome um tempo que já é escasso. Por isso o formato opt-in parece lógico: só arca com a carga quem concordou com ela. Mas o problema da triagem não desapareceu; apenas passou para o lado do projeto. Alguém precisa distinguir uma falha real de uma alucinação do modelo.

Outra questão em aberto é como a Anthropic vai lidar com os problemas encontrados. Pela descrição disponível, só fica claro que os relatórios seguem sem filtragem manual. Os detalhes do processo de divulgação devem ser buscados na página do serviço.

Onde isso se encaixa

A busca de vulnerabilidades com IA já virou uma frente própria. O Google desenvolve o Big Sleep, e a OpenAI apresentou o agente Aardvark. A Anthropic segue o mesmo caminho, mas aposta na abrangência. Em vez de pilotos fechados com parceiros selecionados, ela abre inscrições em massa para qualquer projeto que aceitar participar. Para a empresa, é também uma demonstração da utilidade prática dos modelos em segurança. Para o ecossistema, é uma tentativa de suprir a falta de especialistas onde ninguém pode pagar por uma auditoria.

Quem deve aderir e como

Se você mantém um projeto open source, vale considerar a inscrição, sobretudo se ele nunca passou por uma auditoria. A varredura periódica gratuita custa pouco e, no melhor cenário, revelará uma vulnerabilidade real antes que surja um exploit público.

Na prática, a ordem é esta:

1. Reserve tempo para a triagem. Cada relatório precisa ser reproduzido manualmente antes de ser tratado como um problema real. 2. Defina quem na equipe será responsável por analisar os relatórios e combine as prioridades com antecedência. 3. Não use o scanner para substituir as práticas existentes: revisão de código, análise estática, controle de dependências e fuzzing continuam no lugar. 4. Confira quais condições de acesso ao repositório e de tratamento dos resultados estão declaradas na página do serviço, principalmente no caso de projetos fechados ou sensíveis.

A conclusão geral é simples. A Anthropic oferece uma fonte barata e rápida de sinais de segurança. A decisão final sobre qual sinal é verdadeiro continua com uma pessoa.