Anthropic lanzó el 8 de octubre de 2026 OSS Scanner, un servicio gratuito y de inscripción voluntaria para buscar vulnerabilidades en proyectos de código abierto críticos. Los participantes recibirán informes generados por sus modelos, incluido Claude Mythos, sin revisión humana previa por parte de la compañía.
La iniciativa responde a un problema que Anthropic reconoce en su anuncio de Cyber Mission: encontrar fallas se ha vuelto más fácil, pero comprobarlas, priorizarlas y corregirlas sigue siendo difícil. La empresa afirma que en Project Glasswing a menudo pasaron meses entre la detección de una vulnerabilidad y su reparación.
Los mantenedores conservan la tarea de validar y corregir
Cada informe incluirá una forma de reproducir el problema y una explicación. También podrá localizar el cambio que introdujo la falla y adjuntará un parche propuesto cuando esté disponible. El equipo del proyecto seguirá teniendo que evaluar esos materiales y decidir qué correcciones incorporar al software.
La documentación del servicio lo dirige a proyectos que ya pueden gestionar avisos verificados de gravedad alta o crítica. La admisión se decidirá caso por caso, con criterios como la exposición a ataques remotos y la cantidad de usuarios u otros proyectos que dependen de ese código.
Anthropic comprobará manualmente que quien solicita la inscripción sea un mantenedor principal. Esa verificación de identidad ocurre al dar de alta el proyecto; los informes posteriores seguirán siendo automatizados.
La prueba piloto incluyó fallas reales repetidas
El Frontier Red Team de Anthropic describe una evaluación de 97 vulnerabilidades calificadas como altas o críticas en 48 proyectos. Especialistas revisaron los hallazgos de una versión temprana: 85, el 88 % de la muestra, cumplieron el criterio de su proceso de divulgación coordinada. De los 12 restantes, 11 eran problemas reales ya conocidos o duplicados del escaneo y uno era inválido.
El anuncio de Cyber Mission advierte que los informes pueden contener inexactitudes, incluida una valoración equivocada de la gravedad. La empresa espera una tasa de verdaderos positivos superior al 90 %.
Esa previsión y el 88 % del piloto miden cosas distintas. Los duplicados describían fallas reales, aunque no superaron el criterio de divulgación. La muestra examinada, además, se limitó a hallazgos de gravedad alta o crítica de una versión temprana. Presentarla como una tasa general de precisión borraría esas condiciones.
Los informes automáticos no activan un plazo de 90 días
Según las preguntas frecuentes de OSS Scanner, los hallazgos sin validación humana quedan fuera del plazo habitual de divulgación coordinada de 90 días. Si Anthropic valida después uno de esos informes mediante su proceso convencional, podrá divulgarlo conforme a esa política, contando los 90 días desde que avise al mantenedor de la validación humana.
La empresa conservará el envío de hallazgos revisados por personas para los proyectos que necesitan ese filtro. Los inscritos en OSS Scanner podrán recibir resultados sin esperar esa revisión de Anthropic; convertirlos en correcciones seguirá requiriendo capacidad de evaluación dentro del proyecto.
