Anthropic lanza un escáner gratuito de vulnerabilidades para código abierto
Anthropic presentó OSS Scanner, un servicio voluntario que busca fallos en proyectos de código abierto mediante sus modelos de inteligencia artificial más avanzados, incluido Claude Mythos.
Los proyectos que se inscriban recibirán análisis periódicos y gratuitos; los informes pueden describir la vulnerabilidad, explicar cómo reproducirla y proponer una solución cuando esté disponible.
Los hallazgos se enviarán sin revisión humana, lo que agiliza su entrega, pero deja a los responsables de cada proyecto la tarea de comprobarlos y decidir qué corregir.
¿Qué alcance tiene el servicio?
En una evaluación inicial, especialistas en pruebas de penetración revisaron 97 hallazgos graves o críticos en 48 proyectos: Anthropic consideró que 85 cumplían criterios de divulgación coordinada, 11 duplicaban problemas conocidos y uno era inválido.
La empresa advirtió que los informes pueden exagerar la gravedad o interpretar mal los supuestos de seguridad de un proyecto; espera que la proporción de hallazgos verdaderos supere el 90%.
El servicio se inspira en OSS-Fuzz, de Google, y amplía el trabajo de seguridad de Anthropic: la compañía dijo haber detectado más de 29.000 vulnerabilidades potenciales en los últimos meses, pero haber revisado manualmente unas 6.000.
¿Cómo pueden participar los proyectos?
Los responsables principales deben abrir una solicitud de cambios en el repositorio de OSS Scanner en GitHub e incluir un archivo YAML con el enlace al repositorio, un contacto y la ruta al Dockerfile.
El Dockerfile debe preparar el entorno, instalar las dependencias y compilar el proyecto para permitir una auditoría sin acceso a internet; Anthropic recomienda comprobar allí que las pruebas funcionen.
Nethermind, ZEUS y VirtEngine presentaron solicitudes para que se revisen sus proyectos, según las solicitudes visibles en GitHub; la frecuencia de los análisis posteriores dependerá de factores como la demanda y el uso del proyecto.