El escáner gratuito de Anthropic usa Claude para encontrar fallos en proyectos de código abierto

Cómo funciona

Una herramienta gratis que usa un chatbot de IA para escanear software de código abierto en busca de vulnerabilidades de seguridad.

Los responsables del proyecto suben un archivo de configuración y un Dockerfile a través de GitHub.
Claude analiza el código dentro de una máquina virtual desconectada.
Los agentes de IA revisan los hallazgos y redactan informes de errores.
Los informes llegan al buzón del responsable con las soluciones.

Anthropic lanzó el OSS Scanner el 8 de octubre de 2026, y en solo 11 días ya había encontrado 77 problemas críticos y 803 de alta gravedad en proyectos inscritos ¹. El programa es opcional: los mantenedores de proyectos eligen unirse, y Anthropic ejecuta sus análisis de forma gratuita en sus propios servidores.

Qué puedes hacer con él

Los mantenedores de proyectos de código abierto pueden inscribir sus proyectos críticos para análisis de seguridad periódicos gratuitos, recibiendo informes generados por IA con pruebas de reproducción de errores, explicaciones de la causa raíz y parches propuestos enviados directamente a su bandeja de entrada ¹.
Los investigadores de seguridad y desarrolladores pueden usar el escáner para descubrir rápidamente vulnerabilidades en bibliotecas de código abierto críticas para la infraestructura como curl y wolfSSL sin dedicar meses a auditar código manualmente ¹.
Los equipos que ejecutan software de código abierto del que dependen millones pueden detectar y corregir graves agujeros de seguridad más rápido de lo que permite el escaneo manual tradicional, como demostró curl parcheando un error de alta gravedad en pocos días después de su descubrimiento ¹.

Imagen: red.anthropic.com

Un ejemploInventado para explicarlo

Leo, que administra una biblioteca de cifrado

LeoMe anoté en el escáner con mi proyecto.

AnthropicEl primer escaneo de tu proyecto ya terminó. Aquí está el informe con una propuesta de arreglo.

LeoUno de los hallazgos coincide con una falla real que teníamos. El parche se ve bien sólido.

AnthropicGracias por revisar. La opinión de los responsables nos ayuda a mejorar.

Leo revisará el informe generado por la IA y propondrá un parche a los responsables de su proyecto.

Cómo funciona

Los proyectos de código abierto son como los cimientos de una casa: es posible que no los veas, pero todo lo demás se construye sobre ellos ¹. Bibliotecas como curl, que maneja las conexiones a internet para millones de programas, son de código abierto y se escanean constantemente en busca de problemas de seguridad de forma manual. Ese proceso es lento ².

El OSS Scanner toma su idea de OSS-Fuzz de Google, un programa de seguridad bien conocido, pero intercambia las herramientas de prueba tradicionales por agentes de IA de Claude ¹. En lugar de enviar entradas de prueba rotas al código, el escáner envía los modelos más fuertes de Claude, incluido uno llamado Claude Mythos, para leer y analizar el código fuente directamente .

Para unirse, los principales mantenedores de un proyecto abren una solicitud de extracción (un cambio propuesto en el código) en la página de GitHub de Anthropic y agregan un archivo de configuración simple más un Dockerfile, que le dice al escáner cómo construir el proyecto ³. El análisis luego se ejecuta dentro de una máquina virtual sin conexión a internet, para que la IA no pueda acceder accidentalmente a nada fuera del proyecto . Los agentes verifican los errores que encuentra, averiguan la causa raíz e intentan sugerir correcciones ¹.

Cada informe incluye una prueba autosuficiente que demuestra la existencia del error, una explicación de lo que salió mal y, cuando es posible, un parche propuesto y un rastro que lleva al commit exacto que introdujo el problema ³.

Adivina

De 97 hallazgos revisados, ¿cuántos resultaron ser falsos positivos?

¿Qué tan precisos son los informes?

Anthropic pidió a sus propios probadores de penetración (expertos en seguridad que practican la búsqueda de vulnerabilidades) que revisaran 97 de los hallazgos críticos y de alta gravedad del escáner en 48 proyectos ¹. El ochenta y ocho por ciento de ellos cumplían el estándar para una divulgación formal, lo que significa que eran problemas reales y graves dignos de reporte . Solo uno fue un falso positivo .

Los mantenedores de proyectos vieron resultados similares. La biblioteca de cifrado wolfSSL recibió 74 informes y dijo que 72 eran válidos, con cinco asignaciones oficiales de números CVE (identificadores estándar de vulnerabilidades) ¹. El proyecto curl parcheó un error HTTP/2 de alta gravedad (CVE-2026-92392) que afectaba a las versiones 8.12.0 a 8.22.0 y se corrigió en la versión del 14 de octubre .

Pero hay un pero: ninguno de los informes pasa por revisión humana antes de llegar a los mantenedores ³. Once de los 97 hallazgos revisados por el equipo de Anthropic eran duplicados de problemas ya conocidos ¹. Algunos mantenedores también han informado de que el escáner a veces infla las calificaciones de gravedad . Debido a que los hallazgos no están validados, no hay una ventana de divulgación privada de 90 días asociada, y Anthropic no los publicará públicamente por cuenta propia .

¿Para quién es?

Anthropic aceptó 114 proyectos de aproximadamente 650 solicitudes a partir del 19 de octubre ¹. Los criterios reflejan los de OSS-Fuzz de Google: los proyectos deben ser críticos para la infraestructura, ampliamente utilizados y expuestos a ataques remotos, por ejemplo, bibliotecas que procesan entradas no confiables ². Los proyectos completamente nuevos y las bifurcaciones simples normalmente no califican .

El programa es parte del trabajo del Equipo Rojo de Frontera y Safeguards Research de Anthropic, aprovechando la experiencia de Project Glasswing, donde sus modelos encontraron más de 29.000 vulnerabilidades candidatas en seis meses ¹. De esas, alrededor de 6.000 pasaron por revisión humana, mientras que casi 5.000 se enviaron directamente a los mantenedores que habían solicitado todo, válido o no . El OSS Scanner convierte ese enfoque ad hoc en un servicio estructurado y opcional .

El panel más amplio de divulgación coordinada de vulnerabilidades de Anthropic listaba 6.157 vulnerabilidades divulgadas en 591 proyectos a partir del 2 de octubre, con 516 ya parcheadas ¹. La compañía vincula la efectividad del escáner con mejoras constantes en los benchmarks de IA: en CyberGym, una prueba de búsqueda de vulnerabilidades, los modelos de lenguaje grande pasaron de menos del 20% a más del 85% de precisión .

Esta historia informa sobre una tendencia solo para información. No es un consejo ni un aliento para realizar ninguna de estas acciones.

Qué tan bueno es

Anthropic pidió a sus propios probadores de penetración que revisaran 97 hallazgos críticos y de alta gravedad en 48 proyectos, y el 88 por ciento de ellos eran problemas reales dignos de reporte, solo uno fue un falso positivo ¹. Los comentarios de los mantenedores coinciden: wolfSSL recibió 74 informes y dijo que 72 eran válidos, con cinco obteniendo números CVE oficiales . El programa encontró 77 críticos y 803 hallazgos de alta gravedad en solo sus primeros 11 días . En comparación con Google OSS-Fuzz, que adopta un enfoque diferente usando herramientas de fuzzing tradicionales, el escáner basado en Claude intercambia la revisión humana por un tiempo de entrega mucho más rápido .

Correcciones y actualizaciones

Corregido el 26 de octubre de 2026. Una versión anterior afirmaba que el escáner encontró 803 hallazgos de alta gravedad; la fuente indica 803 hallazgos calificados como altos por el modelo.

Los datos clave

Anthropic lanzó el escáner OSS gratuito el 8 de octubre de 2026, utilizando Claude Mythos para auditar proyectos de código abierto
En 11 días, el escáner encontró 77 hallazgos críticos y 803 hallazgos calificados como altos por el modelo en los proyectos inscritos
El 88 % de los 97 hallazgos auditados de forma independiente resultaron válidos; solo 1 fue un falso positivo
Los informes omiten la revisión humana y van directamente a los mantenedores; no se aplica ningún plazo de divulgación de 90 días
Se aceptaron 114 proyectos de alrededor de 650 solicitudes presentadas al 19 de octubre de 2026