OSS Scanner: o serviço da Anthropic para encontrar vulnerabilidades em código aberto

OSS Scanner: o serviço da Anthropic para encontrar vulnerabilidades em código aberto

Em 8 de outubro, a Anthropic lançou o OSS Scanner, um serviço que verifica projetos de código aberto em busca de vulnerabilidades usando os modelos mais fortes da empresa. Segundo a Anthropic, o serviço se baseia em sua experiência com o uso do Claude para encontrar vulnerabilidades durante o Projeto Glasswing.

A Anthropic já havia escaneado software de código aberto antes e enviado relatórios por meio de seu processo de divulgação coordenada de vulnerabilidades (CVD), mas somente após revisão humana. Até outubro de 2026, havia revisado mais de 6.000 desses relatórios. A revisão manual leva tempo, então as descobertas chegavam aos mantenedores com atraso. O OSS Scanner pula essa etapa: projetos inscritos recebem relatórios assim que uma verificação é concluída.

O serviço é gratuito para aderir. Para se inscrever, um projeto envia um pull request ao repositório anthropics/oss-scanner que adiciona um arquivo project.yaml com os seguintes campos: • repo — um link para o repositório do projeto; • primary_contact — o endereço de e-mail que recebe os relatórios; • dockerfile — o caminho para um Dockerfile que constrói o ambiente com todas as dependências necessárias. A compilação é executada com acesso à rede, enquanto os agentes analisam o código em sandboxes isoladas sem acesso à internet. Os mantenedores também podem anexar um modelo de ameaça especificando o que testar, quais entradas tratar como adversariais e como classificar a gravidade das descobertas.

O pipeline inclui agentes que verificam bugs em duplicidade, propõem patches e realizam análise de causa raiz. Ele também verifica se cada vulnerabilidade está no próprio projeto, e não em suas dependências. Após a verificação inicial, os projetos são reescaneados periodicamente para vulnerabilidades recém-introduzidas e anteriormente perdidas.

Como relatórios não validados podem conter falsos positivos, a Anthropic não aplica a eles um prazo de divulgação de 90 dias e não os publica. Se uma pessoa posteriormente validar uma descoberta por meio do processo CVD padrão, os 90 dias começam a partir do momento em que o mantenedor é notificado da validação.

Nem todo repositório é elegível. Os critérios são semelhantes aos do OSS-Fuzz: a idade e a atividade do projeto, sua pontuação de criticidade OpenSSF, uma licença de código aberto e quão amplamente ele é usado. Projetos novos e a maioria dos forks geralmente não se qualificam. A Anthropic também reconhece que muitos projetos já estão sobrecarregados pelo volume de relatórios, então o serviço é voltado para aqueles que conseguem acompanhar vulnerabilidades altas e críticas verificadas.

O que o diferencia do produto comercial Claude Security é que, para código aberto, a Anthropic usa adicionalmente harnesses experimentais e mais famintos por tokens para encontrar bugs mais profundos.