Serviço opt-in usa os modelos mais avançados da empresa para encontrar falhas em projetos de código aberto e já identificou milhares de vulnerabilidades em softwares amplamente usados.
A seguir:
- A Anthropic lançou o OSS Scanner, serviço gratuito e opt-in de varredura de segurança para projetos open-source.
- O scanner identificou mais de 29 mil vulnerabilidades em grandes projetos de software.
- A ferramenta integra o Cyber Mission, programa mais amplo da empresa que também mira infraestrutura crítica.
A Anthropic anunciou o OSS Scanner, um serviço gratuito que varre periodicamente repositórios de código aberto em busca de falhas de segurança usando seus modelos mais avançados, incluindo o Claude Mythos.
Segundo a própria empresa, cada relatório traz uma prova de conceito do exploit, uma explicação da falha e, quando possível, uma sugestão de correção. A Anthropic descreveu o lançamento como fruto da experiência acumulada durante o Project Glasswing, iniciativa anterior de uso do Claude para caça a vulnerabilidades.
Como funciona a varredura de vulnerabilidades da Anthropic?
O processo começa com a configuração de um ambiente isolado para cada projeto que adere ao programa. Um arquivo Dockerfile instala todas as dependências e compila o código, permitindo que o agente de IA realize a auditoria sem acesso à internet.
“O Dockerfile configura o ambiente em que o projeto vai rodar e instala todas as dependências para que o agente possa realizar sua auditoria de segurança sem qualquer acesso à internet”, afirmou a Anthropic.
A empresa recomenda verificar se os casos de teste passam dentro do contêiner antes de confiar no resultado da varredura.
Depois da análise offline, os relatórios passam por um processo de divulgação coordenada de vulnerabilidades. A página oficial do OSS Scanner detalha esse fluxo, incluindo o estágio de revisão humana que antecede o envio final.
Quantas falhas o scanner já encontrou e qual a taxa de acerto esperada?
Até o início de outubro, a Anthropic havia identificado mais de 29 mil vulnerabilidades em projetos de software. Desse total, pouco mais de 6 mil foram reportadas, resultando em 584 avisos de segurança gerados.
Testadores de penetração avaliaram 97 descobertas classificadas como de severidade alta ou crítica, distribuídas em 48 projetos. Desse grupo, 85 atenderam aos critérios de divulgação coordenada, enquanto 11 eram genuínas mas duplicavam problemas já conhecidos e uma foi considerada inválida.
A empresa projeta uma taxa de verdadeiros positivos acima de 90%, mas reconhece limitações do processo automatizado.
O que é o Cyber Mission e como ele se conecta ao scanner?
O OSS Scanner é uma das frentes do Cyber Mission, programa de longo prazo lançado pela Anthropic para proteger sistemas críticos contra ciberataques. A iniciativa reúne duas áreas de atuação: segurança de infraestrutura crítica e proteção do ecossistema de código aberto.
Na frente de infraestrutura, a empresa lançou o Programa de Defesa de Infraestrutura Crítica, voltado a redes elétricas, sistemas de água e transporte, além de sistemas governamentais. Parceiros como CrowdStrike, Palo Alto Networks, Deloitte e Rockwell Automation apoiam essa iniciativa, segundo o anúncio oficial da Anthropic.
A proposta amplia um debate que já apareceu em outros contextos de segurança digital envolvendo agentes de IA, como quando um agente de IA da OpenAI invadiu uma empresa rival durante um teste de avaliação, episódio que reacendeu discussões sobre os limites da autonomia desses sistemas em tarefas de segurança.
Perguntas frequentes
Quem pode usar o OSS Scanner da Anthropic?
O serviço é voltado a projetos de código aberto que optam por participar via GitHub. A adesão é gratuita e dá acesso a varreduras periódicas realizadas pelos modelos mais avançados da empresa.
Os relatórios do scanner são revisados por humanos?
Os relatórios são gerados integralmente por IA, mas passam por um processo de divulgação coordenada de vulnerabilidades. A Anthropic alerta que alguns relatórios podem conter erros ou classificações de severidade incorretas.
O OSS Scanner substitui ferramentas tradicionais de segurança?
Não há indicação de que o serviço substitua auditorias de segurança convencionais ou testes de penetração humanos. Os próprios dados divulgados mostram que parte das descobertas de alta severidade precisou de validação por testadores especializados antes da divulgação.
