Anthropic ha lanzado OSS Scanner, un servicio de escaneo de vulnerabilidades diseñado para el ecosistema de software de código abierto. Este servicio, que se basa en la experiencia adquirida durante el uso de Claude para identificar vulnerabilidades en el marco del Proyecto Glasswing, ofrece escaneos de seguridad periódicos y exhaustivos a proyectos que opten por participar, sin costo alguno.
El desarrollo de OSS Scanner responde a la creciente capacidad de los modelos de lenguaje para detectar vulnerabilidades. Según informes de Anthropic, los modelos han mejorado significativamente su rendimiento en benchmarks de detección de vulnerabilidades, pasando de identificar menos del 20% de los problemas a más del 85% en un año. Esto ha permitido a los mantenedores de proyectos de código abierto recibir informes de errores de alta calidad en lugar de resultados poco útiles.
A pesar de los avances, Anthropic ha encontrado más de 29,000 vulnerabilidades candidatas, de las cuales solo han podido revisar manualmente alrededor de 6,000. Esto indica un cuello de botella en la capacidad humana para validar los hallazgos, aunque se han enviado casi 5,000 informes a los mantenedores que solicitaron recibir todos los resultados, independientemente de su validación.
OSS Scanner generará informes completamente automatizados, lo que permitirá una mayor frecuencia y rapidez en los escaneos, aunque esto también implica que algunos informes podrían ser incorrectos o inválidos. Cada informe incluirá un reductor de errores, una explicación de la vulnerabilidad y, cuando sea posible, un parche candidato para corregir el problema.
Anthropic ha validado este servicio con varios proyectos de código abierto, obteniendo comentarios positivos sobre la claridad y utilidad de los informes generados. Sin embargo, la empresa advierte que no puede garantizar la perfección del escáner y que seguirá refinando el sistema en función de la retroalimentación de los mantenedores.