Esta semana Anthropic lanzó OSS Scanner, un servicio gratuito y voluntario que usa sus modelos más fuertes, incluido Claude Mythos, para buscar vulnerabilidades en proyectos open source. La idea recuerda a OSS-Fuzz de Google, pero con un modelo razonando sobre el código en lugar de un fuzzer.
Es opt-in: el mantenedor de un proyecto envía un pull request al repositorio anthropics/oss-scanner en GitHub, siempre que el proyecto cumpla criterios de elegibilidad parecidos a los de OSS-Fuzz, centrados en su impacto crítico sobre la infraestructura y la seguridad de los usuarios. No tiene costo para los proyectos participantes.
Cada reporte trae un reproductor autocontenido, una explicación de la vulnerabilidad (incluido, cuando se puede, cuándo se introdujo el bug) y un parche candidato si existe. Según Techloy y Mezha, que citan el anuncio de Anthropic, en validaciones con decenas de proyectos el escáner generó cientos de reportes, algunos con fallas encadenables hasta ejecución remota de código sin autenticación.
Anthropic admite que la salida no pasa por revisión ni triaje humano. Eso permite escaneos más rápidos y frecuentes, pero parte de los reportes puede ser incorrecta o inválida. Para mantenedores voluntarios, que ya sufren avalanchas de reportes dudosos, esa es la pregunta real: si el reproductor de cada hallazgo es suficientemente bueno para verificarlo en minutos, el servicio ayuda; si no, solo mueve la carga a quien menos tiempo tiene.
Anthropic afirma además que en los últimos seis meses sus modelos identificaron más de 29.000 vulnerabilidades en software crítico. Es una cifra de la propia compañía, publicada sin desglose independiente, así que se debe leer como afirmación del proveedor.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel