Anthropic lança OSS Scanner, um scanner de vulnerabilidades com IA gratuito para projetos de código aberto

Em 8 de outubro de 2026, a Anthropic abriu o OSS Scanner, um serviço opcional que verifica repositórios de código aberto em busca de vulnerabilidades, sem custo. A Anthropic diz que o serviço foi inspirado no OSS-Fuzz do Google e se baseia em sua experiência com o Project Glasswing.

A principal diferença em relação às divulgações anteriores da Anthropic é a velocidade. Em seis meses, seus modelos encontraram mais de 29.000 vulnerabilidades em potencial, mas a equipe conseguiu revisar manualmente apenas cerca de 6.000. Agora, os projetos inscritos recebem o resultado dos modelos assim que fica pronto, sem revisão humana. Cada relatório contém uma reprodução autocontida, uma explicação que inclui uma bisseção até a alteração que introduziu o bug, quando possível, e um patch candidato.

Os pentesters da Anthropic verificaram 97 achados críticos e de alta gravidade em 48 projetos antes do lançamento: 85 (88%) atenderam aos critérios do processo coordenado de divulgação da empresa, 11 eram duplicatas legítimas e um era um falso positivo. A SecurityWeek informa que a Anthropic espera uma taxa de verdadeiros positivos acima de 90%.

A inscrição é feita por meio de um pull request para github.com/anthropics/oss-scanner com um project.yaml e um Dockerfile; a elegibilidade segue critérios semelhantes aos do OSS-Fuzz para projetos críticos. Não há prazo de divulgação para achados não validados. No mesmo dia, a Anthropic também anunciou o Critical Infrastructure Defense Program com 11 parceiros fundadores na área de segurança de tecnologia operacional.

Nosso guia explica os detalhes e inclui um gerador de project.yaml.