Anthropic lança OSS Scanner gratuito para projetos open source
OSS Scanner oferece varreduras de segurança por adesão. Os relatórios usam IA sem triagem humana e exigem verificação dos mantenedores.
OSS Scanner oferece análise de segurança por adesão
A Anthropic anunciou em 8 de outubro de 2026 o OSS Scanner, um serviço gratuito de varredura periódica de vulnerabilidades para projetos de código aberto elegíveis. A iniciativa integra a Anthropic Cyber Mission, programa que também inclui apoio à defesa de infraestruturas críticas.
O serviço depende de adesão dos mantenedores. A empresa apresenta o scanner como uma maneira de entregar resultados de seus modelos mais capazes sem esperar pela triagem humana de cada relatório. Essa velocidade vem acompanhada de uma condição central: os achados recebidos precisam ser verificados por quem mantém o projeto.
O que chega ao mantenedor
Segundo o anúncio técnico, os relatórios incluem uma explicação da possível vulnerabilidade, uma forma de reproduzi-la e uma proposta de correção quando disponível. As saídas são geradas pelos modelos e podem conter problemas como severidade exagerada ou interpretação incorreta do contexto de segurança.
A Anthropic mantém seu processo de divulgação coordenada com revisão humana. O OSS Scanner oferece uma via adicional para projetos que conseguem analisar um volume maior de achados. Receber um relatório não equivale a confirmar uma falha, e uma sugestão de patch precisa passar pela revisão do projeto.
Quem pode participar e como solicitar
Os critérios de elegibilidade são semelhantes aos do OSS-Fuzz e priorizam projetos estabelecidos com impacto na infraestrutura e na segurança dos usuários. A avaliação é feita caso a caso, com confirmação de que o solicitante é um mantenedor principal.
A documentação orienta abrir um pull request no repositório oficial anthropics/oss-scanner com a configuração do projeto. Entre os dados exigidos estão o repositório, o contato principal e um Dockerfile que prepare o ambiente. A auditoria do agente acontece sem acesso à internet após a preparação desse ambiente.
Mantenedores podem fornecer um modelo de ameaças e pausar a participação ou sair do programa. Os links para o anúncio e para o guia de adesão estão nas fontes ao final desta matéria.
Análise da Central Stack: o gargalo também está na correção
Para uma equipe pequena, a utilidade de encontrar mais problemas depende da capacidade de reproduzi-los, priorizá-los e corrigir o código. Nossa recomendação é definir quem fará essa triagem antes de aderir a uma ferramenta que envia relatórios automaticamente.
Um fluxo responsável pode registrar o achado, confirmar o comportamento em ambiente controlado e revisar a correção com os testes do projeto. Na avaliação da Central Stack, o anúncio interessa especialmente a mantenedores que já têm um processo de segurança e querem ampliar sua cobertura.