Anthropic lanza OSS Scanner: revisiones de seguridad gratis para software libre
Los mantenedores de proyectos de código abierto pueden solicitar análisis gratuitos con los modelos más capaces de Claude. OSS Scanner envía los hallazgos directamente al equipo, que debe comprobarlos y decidir cómo corregirlos.
- Noticia
- Confirmado
- Publicada el
- 3 minutos de lectura
Lo esencial
- El servicio es gratuito y voluntario; Anthropic acepta los proyectos caso por caso.
- Cada informe incluye pasos para reproducir el fallo y una propuesta de corrección cuando existe.
- Los resultados llegan sin revisión humana y se mantienen privados.
- 0 €Coste para proyectos aceptados
- 85 de 97Hallazgos aceptados en la validación
Anthropic presentó OSS Scanner el 8 de octubre de 2026. La herramienta busca vulnerabilidades en repositorios de código abierto y entrega sus resultados a quienes mantienen el proyecto. Utiliza los modelos más capaces de la compañía, incluido Claude Mythos, y amplía un trabajo que antes dependía de que el equipo de Anthropic revisara cada posible fallo antes de comunicarlo.
Quién puede solicitarlo
El alta está abierta a los mantenedores principales de proyectos con impacto en infraestructuras y en la seguridad de sus usuarios. Anthropic valora la exposición a ataques remotos y cuántas personas u otros programas dependen de ese código. Acepta cada solicitud por separado y comprueba que quien la envía pertenece al equipo responsable.
La documentación del servicio lo orienta a proyectos capaces de revisar nuevos avisos de seguridad además de los que ya reciben. Una biblioteca que procesa datos de origen desconocido es uno de los ejemplos de exposición que recoge entre sus criterios.
| Aspecto | Condición del servicio |
|---|---|
| Precio | Gratis para los proyectos aceptados |
| Alta | Voluntaria, solicitada por un mantenedor principal |
| Informes | Generados por modelos, sin revisión humana previa |
| Destinatarios | El contacto de seguridad y los contactos adicionales indicados |
| Publicación de hallazgos | Los informes sin validar se mantienen privados |
Cómo funciona y qué hay que preparar
La solicitud se hace mediante una propuesta de cambio, o pull request, en el repositorio oficial de OSS Scanner. Hay que añadir la carpeta del proyecto con un archivo de configuración: dirección del repositorio, correo de contacto y las instrucciones necesarias para construirlo en un entorno aislado.
Estas instrucciones van en un Dockerfile, un archivo que prepara las dependencias y compila el programa. También se puede adjuntar un documento que explique qué componentes se quieren proteger, qué entradas podrían contener datos maliciosos y cómo clasifica el equipo la gravedad de los fallos.
El sistema construye el proyecto en una máquina virtual con acceso a internet. Después retira ese acceso para realizar el análisis y envía los resultados por correo. Cada aviso lleva pasos para reproducir el problema y, cuando está disponible, una propuesta de parche. Las direcciones de correo incluidas en la configuración son públicas: el repositorio recomienda usar un alias de seguridad.
Antes de enviar la solicitud, el mantenedor puede ejecutar las herramientas de comprobación del repositorio: una revisa la configuración y otra construye el proyecto y abre un entorno sin red para probarlo. Las dependencias de compilación y de las pruebas deben quedar descargadas durante la preparación. Si la construcción falla en la infraestructura de Anthropic, el contacto principal recibe un correo para corregirla.
Los informes pueden enviarse cifrados con una clave pública OpenPGP incluida en la configuración. En ese caso llegan solo al contacto principal: el cifrado no se puede combinar con destinatarios adicionales.
Qué significa la validación del 88 %
Para evaluar una primera versión, Anthropic encargó a especialistas revisar 97 hallazgos de gravedad alta o crítica en 48 proyectos. De ellos, 85 cumplieron los criterios de su proceso de divulgación coordinada: el 88 % al redondear. Entre los doce restantes, once correspondían a problemas reales que duplicaban otros ya conocidos o detectados; uno era un falso positivo. En wolfSSL, 72 de los 74 informes que recibieron eran válidos y cinco acabaron como CVE.
Los mantenedores tendrán que verificar los nuevos informes: Anthropic señala que algunas valoraciones pueden exagerar la gravedad o interpretar mal cómo se utiliza el programa. El anuncio del lanzamiento explica que el envío directo busca reducir la espera para los equipos que pueden hacer esa comprobación.
Qué cambia para quienes usan esos programas
OSS Scanner forma parte de la Cyber Mission de Anthropic, que también incorpora apoyo a quienes protegen infraestructuras críticas. La empresa mantiene la comunicación de fallos comprobados por personas para proyectos que necesitan ese filtro previo.
La escala explica el cambio: en seis meses, Anthropic encontró más de 29.000 posibles fallos y solo pudo revisar a mano unos 6.000; a petición de los mantenedores, ya había enviado casi 5.000 informes sin validar. Para los mantenedores aceptados, el servicio añade otra vía de detección, con resultados privados y sin una fecha impuesta para hacerlos públicos. Si Anthropic valida después un hallazgo mediante su proceso habitual, puede divulgarlo a partir de 90 días desde la notificación de esa validación humana.
Los análisis se repetirán periódicamente para buscar fallos nuevos y otros que se hayan pasado por alto; la frecuencia dependerá de la carga del servicio y del uso del proyecto. Si el volumen de avisos supera la capacidad del equipo, la configuración permite pausarlos; también se puede retirar el proyecto del servicio. Aparte, el programa Claude for OSS ofrece a los mantenedores suscripciones gratuitas a Claude Max 20x para corregir los fallos.