Anthropic lança ferramenta gratuita para detectar falhas em código aberto

Pontos principais

• A Anthropic lançou o OSS Scanner, serviço gratuito por adesão voluntária para projetos de código aberto com impacto crítico em infraestrutura e na segurança dos usuários.
• A inscrição é feita por pull request no repositório anthropics/oss-scanner, e a Anthropic confere manualmente se quem pede é o mantenedor principal do projeto.
• Cada relatório traz uma prova de conceito da exploração, uma explicação da falha e, quando disponível, uma correção sugerida.
• Os relatórios são enviados sem revisão humana, e a empresa admite que podem conter imprecisões, como classificação errada de severidade; ela espera taxa de verdadeiros positivos acima de 90%.
• Achados não validados por humanos não têm prazo de 90 dias de divulgação coordenada (CVD); os validados pelo processo CVD da empresa seguem prazo de 90 dias contado a partir da notificação.
• Um projeto pode pausar os relatórios com disabled: true no project.yaml, ou sair apagando seu diretório e voltar só ao processo de divulgação coordenada padrão.
• Os relatórios ficam em nuvem isolada, acessível apenas à equipe de segurança da Anthropic, e as varreduras rodam em sandboxes com a internet totalmente desligada.
• A frequência das varreduras não é fixa: a empresa diz que pode depender do número de projetos no seu pipeline.
• O serviço é feito para projetos que já dão conta de vulnerabilidades altas e críticas; os demais seguem recebendo divulgações coordenadas verificadas por humanos.