Perguntas frequentes

Qualquer repositório git público acessível por HTTPS: instâncias do GitHub, GitLab, Codeberg, Bitbucket, Gitea ou Forgejo e forjas auto-hospedadas. Repositórios privados e links com credenciais não são compatíveis.

A auditoria lê o código-fonte como texto, então funciona com a maioria das linguagens: C, C++, Rust, Go, Java, Kotlin, C#, Python, JavaScript, TypeScript, PHP, Ruby, Swift, Scala, Elixir, Lua, shell e outras. Os resultados mais aprofundados costumam ocorrer em parsers de C/C++, backends web e qualquer código que processe entradas não confiáveis.

Uma varredura rápida geralmente termina em 3–10 minutos, dependendo do tamanho e da fila. Varreduras profundas de projetos cadastrados leem mais código e podem levar de 15–40 minutos.

Repositórios muito grandes são auditados parcialmente: o scanner classifica os arquivos por risco e lê os mais arriscados dentro do limite disponível. O relatório mostra quantos arquivos e linhas foram realmente lidos.

Sim. Clique em Branch abaixo do campo de entrada ou cole um link para uma branch, como …/tree/release-2.4.

Cada varredura tem um custo real de uso do modelo. Para manter o serviço gratuito, limitamos as varreduras por visitante e por repositório e definimos um orçamento diário. Se ele acabar, tente novamente no dia seguinte (UTC).

Cada achado passou por um agente verificador independente que tentou refutá-lo, e o relatório mostra quantos candidatos foram rejeitados. Ainda assim, os achados são gerados por modelos e não são revisados por pessoas: a gravidade pode ser superestimada e o modelo pode interpretar incorretamente seu modelo de ameaças. Trate os achados como indícios fortes.

Nenhum scanner pode garantir isso. Um relatório sem achados significa que o código mais arriscado que lemos não apresentou bugs que o verificador pudesse sustentar. Fuzzing, revisão e cadastro para varreduras profundas ampliam a cobertura.

As reproduções só são exibidas depois que alguém comprova ter acesso de escrita ao repositório, fazendo commit de um arquivo de token. Isso evita que exploits prontos caiam nas mãos de quem simplesmente cola um link.

Envie-o para a verificação de código do GitHub (github/codeql-action/upload-sarif) ou qualquer ferramenta que leia SARIF 2.1.0. Os achados aparecerão como alertas nas linhas correspondentes.

É opcional, mas uma linha como “Reported-by: OSS Scanner (ossscanner.org), OSS-2026-XXXXXXXX” na mensagem do commit nos ajuda a medir quais achados eram reais.

Sim — use Válido, Falso positivo ou Conhecido/duplicado em cada achado. Usamos esse feedback para ajustar os prompts e os limites.

Somente quem tem o link. Os IDs dos relatórios são aleatórios e impossíveis de adivinhar, as páginas são marcadas com noindex e não são listadas em lugar algum.

Não. O clone é excluído quando a verificação termina. Os relatórios mantêm pequenos trechos das linhas afetadas, o modelo de ameaças e metadados como o hash do commit.

Sim. Arquivos selecionados são enviados aos modelos Claude por meio do OpenRouter, que os encaminha à Anthropic, Amazon Bedrock ou Google Vertex. Apenas código público é verificado.

Nunca. Não publicamos achados, não abrimos issues públicas nem definimos prazos para divulgação.

Verificações aprofundadas com o modelo mais avançado e um orçamento maior, novas verificações semanais automáticas quando houver novos commits, relatórios por e-mail e um modelo de ameaças persistente.

Você faz commit de um arquivo chamado ossscanner-verify.txt contendo um token que fornecemos. Somente pessoas com acesso de escrita podem fazer isso.

Sim, a qualquer momento pelo seu link de gerenciamento: pause, retome ou exclua o projeto.

Não. ossscanner.org é um projeto independente, não afiliado nem endossado pela Anthropic. Usamos modelos Claude por meio de uma API pública.

Um serviço gratuito, de adesão voluntária, lançado em 8 de outubro de 2026, que verifica projetos críticos de código aberto com os modelos mais avançados da Anthropic, incluindo Claude Mythos, e envia por e-mail relatórios ainda não revisados aos mantenedores. Os projetos se inscrevem por meio de um pull request em github.com/anthropics/oss-scanner.

Sim. Nosso gerador de modelo de ameaças cria o mesmo arquivo .oss-scanner/threat_model.md que o scanner da Anthropic lê, e nosso guia gera o arquivo project.yaml para o pull request deles.