Anthropic lança OSS Scanner, scanner gratuito de vulnerabilidades para código aberto

A Anthropic abriu o acesso ao OSS Scanner, um scanner gratuito de vulnerabilidades para projetos de código aberto. Em seis meses de varredura intensiva, a empresa descobriu 29.000 candidatas a vulnerabilidades, mas a revisão e triagem manuais se tornaram o gargalo: apenas 6.000 relatórios foram processados manualmente. Mesmo assim, a falta de recursos não impediu a disseminação das descobertas — os mantenedores frequentemente pediam para receber todos os relatórios de uma vez, mesmo os não verificados. Até agora, 5.000 relatórios foram enviados diretamente aos mantenedores, a pedido deles. Agora a Anthropic oferece um caminho mais rápido: o OSS Scanner opera em modo fast-track, gerando relatórios instantaneamente após a descoberta, sem validação manual.

Escala e qualidade das descobertas

Os resultados da Anthropic no benchmark NDCVE mostram que os modelos de linguagem melhoraram significativamente sua capacidade de encontrar vulnerabilidades — de menos de 20% no início do ano passado para mais de 85% este ano. Especialistas em testes de penetração revisaram 97 vulnerabilidades críticas e de alta severidade do OSS Scanner em 48 projetos diferentes. Os resultados são encorajadores: 85 relatórios (88%) atenderam aos padrões do processo CVD da Anthropic. Dos 12 restantes, 11 duplicavam problemas já conhecidos, e apenas um foi considerado falso positivo — essencialmente um erro do algoritmo. Os relatórios iniciais incluíam centenas de relatos de bugs, alguns dos quais puderam ser encadeados para alcançar execução remota de código não autenticada nos projetos testados.

Os relatórios serão totalmente gerados pelo modelo, sem revisão humana — isso acelera a varredura, mas significa que algumas descobertas podem estar incorretas ou não se aplicar ao contexto do projeto. Para potência máxima, a Anthropic usa seus modelos mais fortes, incluindo o Claude Mythos.

Feedback de projetos de alto perfil

A Anthropic passou semanas validando o pipeline com dezenas de projetos de código aberto, coletando feedback concreto:

Noah Misch (PostgreSQL): "O OSS Scanner encontrou um número incomumente alto de defeitos no PostgreSQL. Vários relatórios vieram com correções que podiam ser usadas quase como estavam. O acesso fast-track nos permitiu resolver novos problemas antes do lançamento da versão GA."

Anton Arapov (OpenSSL Corporation): "Os primeiros relatórios de IA, há 18 meses, antes do Project Glasswing, eram terríveis. Os relatórios da Anthropic, mesmo a saída bruta do modelo, são tão bons quanto ou melhores que os de humanos. Quando um relatório vem com um exploit pronto, para um engenheiro isso é praticamente uma solução acabada."

Todd Ouska (wolfSSL): "A qualidade do sinal é alta: dos 74 relatórios recebidos, todos exceto dois são válidos, e cinco se tornaram CVEs. Com os patches anexados, os relatórios entram direto no nosso processo de revisão e correção. Queremos mais."

Eddie Kohler (HotCRP): "Os relatórios são detalhados e claros, com forte compreensão do complexo modelo de permissões do HotCRP e boa priorização dos problemas."

Daniel Stenberg (curl): "Usamos todas as ferramentas de ponta disponíveis para encontrar problemas e fortalecer nossos produtos. O OSS Scanner nos ajudou a encontrar vários problemas no curl que valiam ser resolvidos, incluindo uma das piores vulnerabilidades relatadas nos últimos anos."

Os relatórios incluem reprodutores autossuficientes, uma explicação da vulnerabilidade (incluindo bisseção para determinar o momento em que o bug foi introduzido) e patches sugeridos.

Processo e programas adicionais

A Anthropic se inspirou no sucesso do OSS-Fuzz, um projeto que varre código aberto em busca de vulnerabilidades usando fuzzers. O próprio OSS Scanner segue um princípio semelhante, mas usa modelos de linguagem em vez de ferramentas de análise dinâmica.

A empresa continuará enviando relatórios verificados manualmente por meio do processo existente de divulgação coordenada de vulnerabilidades (CVD), especialmente para projetos sem recursos para fazer a triagem por conta própria. Mas a opção fast-track agora está aberta a qualquer um que queira reagir rapidamente às descobertas.

Os principais mantenedores de projetos elegíveis podem se inscrever enviando um pull request ao repositório da Anthropic, usando o modelo padrão. Os projetos se tornam elegíveis com base nos critérios do OSS-Fuzz: devem ter "impacto crítico na infraestrutura e na segurança dos usuários", com a decisão tomada caso a caso.

Também estão disponíveis programas adicionais:

• Cyber Verification Program — oferece capacidades cibernéticas avançadas e classificadores de bloqueio reduzidos para profissionais de segurança qualificados. • Assinaturas do Claude Max 20x — gratuitas para quem ajuda a corrigir vulnerabilidades e melhorar projetos de código aberto.