Anthropic ha presentado OSS Scanner, un servicio gratuito que analiza repositorios de código abierto críticos en busca de vulnerabilidades de seguridad y envía los hallazgos directamente a los responsables del proyecto.
El programa, al que puedes unirte voluntariamente, utiliza los modelos de IA más potentes de la empresa para realizar escaneos repetidos, ofreciendo a los desarrolladores una vía más rápida para detectar posibles fallos sin tener que esperar a una revisión humana.
Según la descripción del servicio de Anthropic, OSS Scanner se basa en su trabajo con Project Glasswing. La empresa afirma que había revisado más de 6.000 informes de vulnerabilidades para octubre de 2026 a través de su proceso de divulgación actual. El nuevo servicio ofrece una vía independiente para proyectos que estén dispuestos a evaluar informes generados por IA.
De acuerdo con el repositorio de GitHub, el escáner primero construye el proyecto inscrito dentro de una máquina virtual aislada con acceso a la red habilitado. Esta etapa instala las dependencias y prepara el software para las pruebas.
A continuación, Anthropic elimina el acceso a Internet antes de que comience la auditoría de seguridad, permitiendo que los agentes de escaneo examinen el proyecto dentro de un entorno restringido.
Los informes llegan por correo electrónico con los pasos para reproducir el problema sospechado y un parche propuesto cuando está disponible. Anthropic afirma que su proceso incluye agentes que verifican doblemente los errores y examinan sus causas raíz.
Sin embargo, estas comprobaciones son automatizadas. Ningún humano revisa los hallazgos antes de que los responsables los reciban. Tras el primer escaneo, el servicio vuelve a analizar los proyectos en busca de vulnerabilidades recién introducidas y problemas omitidos anteriormente. La frecuencia del escaneo depende de factores como la demanda y el uso del proyecto.
Los responsables principales pueden solicitar la entrada a través del repositorio oficial de GitHub abriendo un pull request que añada un directorio bajo projects/<name>. Cada solicitud necesita una configuración project.yaml que contenga la dirección del repositorio y un correo electrónico de contacto principal. Anthropic comprueba manualmente que los solicitantes sean responsables principales antes de aceptar un proyecto.
Anthropic no impone un plazo de divulgación de 90 días para los hallazgos no validados. Sin embargo, un informe confirmado posteriormente a través de su programa de revisión humana puede entrar en ese proceso de divulgación.
Esta salvaguarda es importante ante la preocupación de que los informes de vulnerabilidades generados por IA hagan perder el tiempo a los responsables. Los propietarios del proyecto todavía deben reproducir los fallos sospechosos y probar las correcciones sugeridas antes de tratarlas como vulnerabilidades confirmadas. Los informes pueden pausarse con disabled: true, mientras que eliminar el directorio de inscripción retira el proyecto por completo.
Fuente: Cybersecurity News
