Información clave
Anthropic ha presentado OSS Scanner, un servicio que utiliza su modelo Claude Mythos para inspeccionar vulnerabilidades de seguridad en software de código abierto. En sus primeros 11 días, la IA identificó 77 vulnerabilidades clasificadas como críticas y 803 como de alta gravedad. El servicio funciona analizando los proyectos enviados por los mantenedores dentro de un entorno de pruebas aislado, proporcionando código de reproducción y posibles parches sin costo alguno.
La herramienta funciona sin revisión humana, lo que permite escaneos rápidos y frecuentes. Anthropic reconoce que este enfoque puede dar lugar a falsos positivos o interpretaciones erróneas de los modelos de amenazas de los proyectos. Aunque las pruebas iniciales mostraron que el 88% de los informes cumplían con los estándares de divulgación, algunos mantenedores han informado que la IA tiende a asignar calificaciones de gravedad excesivamente altas.
Un descubrimiento notable incluye la CVE-2026-92392 en la biblioteca curl, una vulnerabilidad de tipo use-after-free identificada por el escáner. Daniel Stenberg, quien lidera el desarrollo de curl, la describió como uno de los problemas más graves que ha enfrentado el proyecto en los últimos años. Aunque la ejecución remota de código es teóricamente posible, los desarrolladores de curl señalaron que las condiciones son estrictas y que un bloqueo es el resultado más probable.
OSS Scanner está actualmente disponible para proyectos seleccionados, con 114 aceptados de aproximadamente 650 solicitudes. A diferencia de la divulgación coordinada tradicional, estos informes no se publican y no se aplica el plazo estándar de 90 días. Anthropic pretende que este servicio ayude a los mantenedores a abordar las fallas de seguridad más rápido de lo que los atacantes pueden explotarlas.
