El anuncio
El 8 de octubre de 2026, Anthropic lanzó OSS Scanner, un servicio gratuito y opcional (opt-in) que usa sus modelos más potentes, incluido Claude Mythos, para buscar vulnerabilidades en proyectos de código abierto. Su inspiración declarada es OSS-Fuzz de Google, que hace lo mismo con fuzzers.
Las cifras
Según Anthropic, en los últimos seis meses sus modelos hallaron más de 29.000 vulnerabilidades candidatas en software importante, pero el equipo solo pudo revisar a mano unas 6.000. Muchos mantenedores pidieron recibirlo todo, aun sin revisar: la empresa ya envió casi 5.000 informes así.
En el benchmark académico CyberGym, Anthropic afirma que los modelos pasaron de encontrar menos del 20% de las vulnerabilidades a principios del año pasado a más del 85% este año.
Para validar el escáner, pentesters revisaron 97 hallazgos críticos y altos en 48 proyectos: 85 (88%) cumplieron el estándar de su proceso de divulgación coordinada (CVD), 11 eran reales pero duplicados y solo 1 fue falso positivo.
Importante: sin revisión humana
Los informes de OSS Scanner son generados íntegramente por el modelo, sin triaje humano. Eso permite escaneos más rápidos y frecuentes, pero la propia Anthropic advierte que algunos pueden ser erróneos o exagerar la gravedad. Cada informe incluye un reproductor, una explicación, una bisección de cuándo apareció el fallo (si es posible) y un parche candidato.
Anthropic seguirá usando su proceso CVD con verificación humana, sobre todo para proyectos sin personal para revisar informes.
Qué dijeron los mantenedores
La página cita a PostgreSQL, OpenSSL, wolfSSL (74 informes, solo 2 inválidos, 5 se convirtieron en CVE), HotCRP y curl. Daniel Stenberg, de curl, dice que encontró "una de las peores vulnerabilidades de curl de los últimos años".
Cómo unirse (repositorio en GitHub)
La inscripción se hace con un pull request a github.com/anthropics/oss-scanner (Apache-2.0), siguiendo la plantilla (project.yaml y, si hace falta, un Dockerfile para compilar el proyecto). Solo pueden inscribirse mantenedores principales, con criterios similares a OSS-Fuzz: impacto crítico en infraestructura y seguridad de usuarios, caso por caso.
El mismo día: programa de infraestructura crítica
Anthropic anunció además un programa de defensa de infraestructura crítica con 11 socios de seguridad industrial (OT), entre ellos Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks y Rockwell, según SecurityWeek.
Qué significa para las empresas
- Los parches llegarán antes y en mayor volumen. Automatice las actualizaciones de dependencias (Dependabot, Renovate) y siga los avisos de seguridad.
- Los atacantes tienen las mismas herramientas. Como dice Anthropic, hoy un exploit puede crearse en minutos.
- Si mantiene un proyecto open source crítico, valore inscribirse, pero reserve tiempo para revisar informes sin triaje.
Fuentes
- Anthropic (8/10/2026): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner: https://red.anthropic.com/oss-scanner/
- Repositorio: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
¿Quiere ordenar la gestión de dependencias y parches de su empresa? KGA IT ofrece una consulta gratuita: kga-it.com.