Lo scanner gratuito di Anthropic usa Claude per trovare bug nel codice open-source

Anthropic ha lanciato lo OSS Scanner l'8 ottobre 2026 e in soli 11 giorni aveva già trovato 77 problemi critici e 803 ad alta gravità nei progetti iscritti ¹. Il programma è ad adesione volontaria: i manutentori dei progetti scelgono di aderire, e Anthropic esegue le scansioni gratuitamente sui suoi server.

Cosa potresti farci

• I manutentori di progetti open-source possono iscrivere i loro progetti critici per scansioni di sicurezza periodiche gratuite, ricevendo report generati dall'IA con test di riproduzione del bug, spiegazioni della causa radice e patch proposte, inviati direttamente alla loro casella di posta ¹.
• I ricercatori della sicurezza e gli sviluppatori possono usare lo scanner per scoprire rapidamente vulnerabilità nelle librerie open-source critiche per le infrastrutture come curl e wolfSSL senza passare mesi a ispezionare manualmente il codice ¹.
• I team che eseguono software open-source dal quale milioni dipendono possono individuare e riparare gravi falle di sicurezza più velocemente di quanto consentiscano le scansioni manuali tradizionali, come dimostrato da curl che ha patchato un bug ad alta gravità entro pochi giorni dalla scoperta ¹.

Dal comunicato: uno screenshot della pagina web dello scanner OSS di Anthropic che mostra il titolo 'OSS Scanner' con testo descrittivo

Immagine: red.anthropic.com

Come funziona

I progetti open-source sono come le fondamenta di una casa — potresti non vederle, ma tutto il resto è costruito sopra ¹. Librerie come curl, che gestisce le connessioni internet per milioni di programmi, sono open-source e vengono scansionate manualmente per problemi di sicurezza. Quel processo è lento ².

Lo OSS Scanner riprende l'idea da Google's OSS-Fuzz, un noto programma di sicurezza, ma sostituisce gli strumenti di test tradizionali con gli agenti IA di Claude ¹. Invece di inviare input di test alterati al codice, lo scanner invia i modelli più potenti di Claude — tra cui uno chiamato Claude Mythos — a leggere e analizzare direttamente il codice sorgente .

Per aderire, i manutentori principali di un progetto aprono una pull request (una modifica proposta al codice) sulla pagina GitHub di Anthropic e aggiungono un semplice file di configurazione più un Dockerfile, che dice allo scanner come costruire il progetto ³. La scansione poi viene eseguita all'interno di una macchina virtuale senza connessione internet, così l'IA non può accedere accidentalmente a nulla al di fuori del progetto . Gli agenti verificano i bug trovati, ne individuano la causa radice e cercano di suggerire delle correzioni ¹.

Ogni report include un test autocontenuto che dimostra che il bug esiste, una spiegazione di cosa è andato storto e — quando possibile — una patch proposta e una traccia fino al commit esatto che ha introdotto il problema ³.

Quanto sono precisi i report?

Anthropic ha chiesto ai propri penetration tester (esperti di sicurezza che praticano la ricerca di vulnerabilità) di rivedere 97 tra problemi critici e ad alta gravità trovati dallo scanner in 48 progetti ¹. L'ottantotto percento di essi ha superato lo standard per una divulgazione formale — significava che erano problemi reali e seri degni di essere segnalati . Solo uno era un falso positivo .

I manutentori dei progetti hanno ottenuto risultati simili. La libreria di crittografia wolfSSL ha ricevuto 74 report e ha dichiarato che 72 erano validi, con cinque che hanno ottenuto ufficialmente dei numeri CVE (identificatori standard di vulnerabilità) ¹. Il progetto curl ha patchato un bug HTTP/2 ad alta gravità (CVE-2026-92392) che interessava le versioni dall'8.12.0 all'8.22.0 ed è stato risolto nella versione del 14 ottobre .

Ma c'è un rovescio della medaglia: nessuno dei report passa attraverso una revisione umana prima di raggiungere i manutentori ³. Undici dei 97 risultati esaminati dal team di Anthropic erano duplicati di problemi già noti ¹. Alcuni manutentori hanno anche riportato che lo scanner talvolta gonfia le valutazioni di gravità . Poiché i risultati non sono convalidati, non è previsto alcun periodo di 90 giorni di divulgazione privata, e Anthropic non li pubblicherà pubblicamente di sua iniziativa .

A chi è rivolto?

Anthropic ha accettato 114 progetti su circa 650 candidature come del 19 ottobre ¹. I criteri riflettono quelli di Google's OSS-Fuzz: i progetti dovrebbero essere critici per le infrastrutture, ampiamente usati ed esposti ad attacchi remoti — ad esempio, librerie che elaborano input non attendibili ². I progetti nuovissimi e i semplici fork di norma non sono idonei .

Il programma fa parte del lavoro di Frontier Red Team e Safeguards Research di Anthropic, basandosi sull'esperienza di Project Glasswing, dove i suoi modelli hanno trovato oltre 29.000 vulnerabilità candidate in sei mesi ¹. Di queste, circa 6.000 sono passate attraverso una revisione umana, mentre quasi 5.000 sono state inviate direttamente ai manutentori che avevano chiesto tutto — valido o meno . Lo OSS Scanner trasforma questo approccio occasionale in un servizio strutturato e ad adesione volontaria .

Il dashboard più ampio di divulgazione coordinata delle vulnerabilità di Anthropic ha elencato 6.157 vulnerabilità divulgate in 591 progetti come del 2 ottobre, con 516 già patchate ¹. L'azienda collega l'efficacia dello scanner ai miglioramenti costanti nei benchmark dell'IA: su CyberGym, un test per la scoperta di vulnerabilità, i LLM sono passati da sotto il 20% a oltre l'85% di accuratezza .

Questo articolo segnala un trend per sole informazioni. Non è un consiglio né un incoraggiamento a fare alcunché.

Quanto è valido

Anthropic ha chiesto ai propri penetration tester di rivedere 97 tra problemi critici e ad alta gravità in 48 progetti, e l'88 percento di essi erano problemi reali degni di segnalazione — solo uno era un falso positivo ¹. Il feedback dei manutentori conferma: wolfSSL ha ricevuto 74 report e ha detto che 72 erano validi, con cinque che hanno ottenuto numeri CVE ufficiali . Il programma ha trovato 77 problemi critici e 803 ad alta gravità nei primi 11 giorni . Rispetto a Google OSS-Fuzz, che adotta un approccio diverso usando strumenti tradizionali di fuzzing, lo scanner basato su Claude sacrifica la revisione umana in cambio di tempi molto più rapidi .

Correzioni e aggiornamenti

• Corretto il 26 ottobre 2026. Una versione precedente affermava che lo scanner aveva trovato 803 problemi ad alta gravità; la fonte indica 803 problemi ad alta valutazione del modello.

I fatti principali

• Anthropic ha lanciato lo scanner OSS gratuito l'8 ottobre 2026, usando Claude Mythos per verificare i progetti open-source
• In 11 giorni lo scanner ha trovato 77 problemi critici e 803 ad alta valutazione del modello nei progetti iscritti
• L'88% dei 97 risultati esaminati indipendentemente era valido; solo 1 era un falso positivo
• I report bypassano la revisione umana e vanno direttamente ai manutentori; non si applica la finestra di 90 giorni per la divulgazione
• 114 progetti sono stati accettati su circa 650 candidature come del 19 ottobre 2026

Fonti

1. Anthropic Launches OSS Scanner, a Free AI Vulnerability Scanner — marktechpost.com
2. OSS Scanner
3. GitHub - anthropics/oss-scanner