O anúncio
Em 8 de outubro de 2026, a Anthropic lançou o OSS Scanner, um serviço gratuito e opcional (opt-in) que usa seus modelos mais fortes, incluindo o Claude Mythos, para procurar vulnerabilidades em projetos de código aberto. A inspiração declarada é o OSS-Fuzz do Google, que faz o mesmo com fuzzers.
Os números
Segundo a Anthropic, nos últimos seis meses seus modelos encontraram mais de 29 mil vulnerabilidades candidatas em softwares importantes, mas a equipe só conseguiu revisar manualmente cerca de 6 mil. Muitos mantenedores pediram para receber tudo, mesmo sem revisão: a empresa já enviou quase 5 mil relatórios desse tipo.
No benchmark acadêmico CyberGym, a empresa diz que os modelos passaram de menos de 20% das vulnerabilidades encontradas no início do ano passado para mais de 85% neste ano.
Para validar o scanner, pentesters revisaram 97 achados críticos e altos em 48 projetos: 85 (88%) atenderam ao padrão do processo de divulgação coordenada (CVD), 11 eram reais mas duplicados, e só 1 era falso positivo.
Importante: relatórios sem revisão humana
Os relatórios do OSS Scanner são totalmente gerados por modelo, sem triagem humana. Isso permite varreduras mais rápidas e frequentes, mas a própria Anthropic avisa que alguns podem estar errados ou com severidade inflada. Cada relatório traz um reprodutor, explicação, bisseção de quando o bug entrou (quando possível) e um patch candidato.
A Anthropic diz que continua usando o processo CVD com verificação humana, especialmente para projetos sem equipe para triar relatórios.
O que os mantenedores disseram
A página traz depoimentos de PostgreSQL, OpenSSL, wolfSSL (74 relatórios, só 2 inválidos, 5 viraram CVEs), HotCRP e curl. Daniel Stenberg, do curl, diz que a ferramenta achou "uma das piores vulnerabilidades do curl dos últimos anos".
Como entrar (repositório no GitHub)
O cadastro é feito por pull request no repositório github.com/anthropics/oss-scanner (Apache-2.0), seguindo o modelo de projeto (project.yaml e, se necessário, um Dockerfile para compilar o projeto). Só mantenedores principais podem inscrever o projeto, e a elegibilidade segue critérios parecidos com os do OSS-Fuzz: impacto crítico em infraestrutura e segurança dos usuários, avaliado caso a caso.
No mesmo dia: programa para infraestrutura crítica
Na mesma data, a Anthropic anunciou um programa de defesa de infraestrutura crítica com 11 parceiros de segurança industrial (OT), entre eles Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks e Rockwell, segundo a SecurityWeek.
O que isso significa para empresas
- Patches virão mais rápido em bibliotecas populares, e também em maior volume. Automatize atualizações de dependências (Dependabot, Renovate) e acompanhe os avisos de segurança.
- Atacantes têm as mesmas ferramentas. Como a Anthropic diz, exploits hoje podem ser criados em minutos. O tempo entre o patch e a exploração está encolhendo.
- Se você mantém um projeto open source crítico, vale avaliar a inscrição, mas reserve tempo para triar relatórios não revisados.
Fontes
- Anthropic (8/10/2026): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- Página do OSS Scanner: https://red.anthropic.com/oss-scanner/
- Repositório: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
Quer organizar a gestão de dependências e patches da sua empresa? A KGA IT oferece uma consulta gratuita: kga-it.com.