El escáner gratuito de Anthropic usa Claude para encontrar errores en código abierto

Anthropic lanzó el OSS Scanner el 8 de octubre de 2026 y en solo 11 días ya había encontrado 77 problemas críticos y 803 de alta gravedad entre los proyectos inscritos ¹. El programa es voluntario: los mantenedores de los proyectos eligen sumarse, y Anthropic ejecuta los escaneos de forma gratuita en sus propios servidores.

Qué puedes hacer con ello

• Los mantenedores de proyectos de código abierto pueden inscribir sus proyectos críticos para escaneos periódicos de seguridad de forma gratuita, recibiendo informes generados por inteligencia artificial con pruebas que reproducen el error, explicaciones de la causa raíz y parches propuestos enviados directamente a su correo ¹.
• Investigadores de seguridad y desarrolladores pueden usar el escáner para descubrir rápidamente vulnerabilidades en bibliotecas de código abierto críticas para la infraestructura, como curl y wolfSSL, sin dedicar meses a auditar el código de forma manual ¹.
• Los equipos que ejecutan software de código abierto del que dependen millones pueden detectar y reparar graves problemas de seguridad más rápido que lo que permiten los escaneos manuales tradicionales, como demostró curl parcheando un error de alta gravedad en pocos días tras su descubrimiento ¹.

Del anuncio: Una captura de pantalla de la página web del OSS Scanner de Anthropic que muestra el título 'OSS Scanner' con texto descriptivo

Imagen: red.anthropic.com

Cómo funciona

Los proyectos de código abierto son como los cimientos de una casa: no siempre los ves, pero todo lo demás se construye sobre ellos ¹. Bibliotecas como curl, que maneja las conexiones a internet de millones de programas, son de código abierto y se escanean constantemente en busca de problemas de seguridad de forma manual. Ese proceso es lento ².

El OSS Scanner toma prestada su idea del programa de seguridad OSS-Fuzz de Google, bien conocido, pero reemplaza las herramientas de prueba tradicionales por agentes de IA de Claude ¹. En lugar de enviar entradas de prueba rotas al código, el escáner envía los modelos más fuertes de Claude —incluyendo uno llamado Claude Mythos— para leer y analizar el código fuente directamente .

Para sumarse, los mantenedores principales de un proyecto abren un pull request (un cambio propuesto al código) en la página de GitHub de Anthropic y agregan un archivo de configuración sencillo junto con un Dockerfile, que le indica al escáner cómo construir el proyecto ³. El escaneo se ejecuta entonces dentro de una máquina virtual sin conexión a internet, de modo que la inteligencia artificial no pueda acceder accidentalmente a nada fuera del proyecto . Los agentes revisan los errores que encuentra, determinan la causa raíz y proponen soluciones ¹.

Cada informe incluye una prueba autosuficiente que demuestra la existencia del error, una explicación de qué salió mal y, cuando es posible, un parche propuesto y un rastro que lleva al commit exacto que introdujo el problema ³.

Qué tan precisos son los informes

Anthropic pidió a sus propios testers de penetración (expertos en seguridad que practican la búsqueda de vulnerabilidades) que revisaran 97 de los hallazgos críticos y de alta gravedad del escáner en 48 proyectos ¹. El ochenta y ocho por ciento de ellos cumplió el estándar para una divulgación formal, lo que significa que se trataba de problemas reales y serios que valían la pena reportar . Solo uno fue un falso positivo .

Los mantenedores de proyectos obtuvieron resultados similares. La biblioteca de cifrado wolfSSL recibió 74 informes y afirmó que 72 eran válidos, con cinco asignados oficialmente como números CVE (identificadores estándar de vulnerabilidades) ¹. El proyecto curl parcheó un error de alta gravedad en HTTP/2 (CVE-2026-92392) que afectaba a las versiones 8.12.0 a la 8.22.0 y se corrigió en la versión del 14 de octubre .

Pero hay un detalle: ninguno de los informes pasa por revisión humana antes de llegar a los mantenedores ³. Once de los 97 hallazgos revisados por el equipo de Anthropic resultaron ser duplicados de problemas ya conocidos ¹. Algunos mantenedores también han señalado que el escáner a veces infla las calificaciones de gravedad . Dado que los hallazgos no están validados, no se adjunta un período de divulgación privada de 90 días, y Anthropic no los publicará públicamente por su cuenta .

¿Para quién es?

Anthropic aceptó 114 proyectos de aproximadamente 650 solicitudes presentadas a la fecha del 19 de octubre ¹. Los criterios reflejan los de OSS-Fuzz de Google: los proyectos deben ser críticos para la infraestructura, muy utilizados y estar expuestos a ataques remotos, por ejemplo, bibliotecas que procesan entradas no confiables ². Los proyectos nuevos y los forks simples generalmente no califican .

El programa forma parte del trabajo del Equipo Rojo Frontier y de Investigación de Salvaguardas de Anthropic, aprovechando la experiencia de Project Glasswing, donde sus modelos encontraron más de 29.000 candidatos a vulnerabilidades en seis meses ¹. De esos, alrededor de 6.000 pasaron por revisión humana, mientras que casi 5.000 se enviaron directamente a los mantenedores que habían pedido recibir todo, fuera válido o no . El OSS Scanner convierte ese enfoque improvisado en un servicio estructurado y voluntario .

El panel de divulgación coordinada de vulnerabilidades de Anthropic registró 6.157 vulnerabilidades divulgadas en 591 proyectos a la fecha del 2 de octubre, con 516 ya parcheadas ¹. La empresa vincula la efectividad del escáner con mejoras constantes en los puntajes de inteligencia artificial: en CyberGym, una prueba de búsqueda de vulnerabilidades, los modelos de lenguaje pasaron de menos del 20 % a más del 85 % de precisión .

Esta historia informa sobre una tendencia con fines exclusivamente informativos. No constituye asesoramiento ni recomendación para realizar ninguna de las acciones mencionadas.

Qué tan bueno es

Anthropic pidió a sus propios testers de penetración que revisaran 97 hallazgos críticos y de alta gravedad en 48 proyectos, y el 88 % resultó ser un problema real que valía la pena reportar; solo uno fue un falso positivo ¹. Las retroalimentaciones de los mantenedores coinciden: wolfSSL recibió 74 informes y consideró que 72 eran válidos, con cinco obteniendo números CVE oficiales . El programa encontró 77 hallazgos críticos y 803 de alta gravedad en solo sus primeros 11 días . En comparación con Google OSS-Fuzz, que emplea un enfoque diferente usando herramientas tradicionales de fuzzing, el escáner basado en Claude prioriza la rapidez frente a la revisión humana .

Correcciones y actualizaciones

• Corrección del 26 de octubre de 2026. Una versión anterior afirmaba que el escáner encontró 803 hallazgos de alta gravedad; la fuente indica 803 hallazgos de alta gravedad según la valoración del modelo.

Los datos clave

• Anthropic lanzó el OSS Scanner gratuito el 8 de octubre de 2026, usando Claude Mythos para auditar proyectos de código abierto
• En 11 días el escáner encontró 77 hallazgos críticos y 803 de alta gravedad según la valoración del modelo en los proyectos inscritos
• El 88 % de los 97 hallazgos auditados de forma independiente eran válidos; solo 1 fue un falso positivo
• Los informes omiten la revisión humana y llegan directamente a los mantenedores; no aplica el período de 90 días para divulgación
• Se aceptaron 114 proyectos de unas 650 solicitudes a la fecha del 19 de octubre de 2026

Fuentes

1. Anthropic Launches OSS Scanner, a Free AI Vulnerability Scanner — marktechpost.com
2. OSS Scanner
3. GitHub - anthropics/oss-scanner