Anthropic lanza escáner de vulnerabilidades de IA gratuito

AXCESS · Octubre 09, 2026, 04:03:12 PM

El jueves, Anthropic presentó OSS Scanner, una herramienta de escaneo de vulnerabilidades de participación voluntaria diseñada para ayudar a proteger el ecosistema de código abierto mediante inteligencia artificial (IA).

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

"Se trata de un servicio de participación voluntaria que se basa en nuestra experiencia utilizando Claude para detectar vulnerabilidades durante el proyecto Glasswing", señaló Anthropic. "Los proyectos que se unan recibirán análisis de seguridad exhaustivos y periódicos realizados por nuestros modelos más potentes, sin coste alguno".

Anthropic también destacó que los resultados del escáner serán generados íntegramente por los modelos y no requerirán revisión ni clasificación manual, lo que facilitará la realización de análisis más rápidos y frecuentes. Se prevé que estos informes sean generados por sus modelos más avanzados, incluido Claude Mythos.

La empresa indicó que espera utilizar criterios similares a los de OSS-Fuzz de Google para seleccionar los proyectos, aunque subrayó que dicho proceso podría evolucionar con el tiempo. Se recomienda a los responsables de mantenimiento de los proyectos que proporcionen una breve descripción explicando la importancia de su iniciativa en aquellos casos en los que esta "no resulte evidente por sí misma".

Los mantenedores principales de un proyecto pueden inscribirse enviando una *pull request* al repositorio de GitHub de OSS Scanner, acompañada de un archivo de configuración YAML que proporcione la siguiente información:

Enlace al repositorio Git que debe clonarse.

Dirección de correo electrónico del contacto principal.

Ruta (relativa al repositorio) al Dockerfile que configura el entorno, preinstala todas las dependencias y compila el proyecto para permitir que un agente sin conexión realice la auditoría de seguridad.

"El Dockerfile configura el entorno en el que se ejecutará el proyecto e instala todas las dependencias para que el agente pueda realizar su auditoría de seguridad sin necesidad de acceso a Internet", señaló Anthropic. "Recomendamos verificar que los casos de prueba se ejecuten correctamente dentro del contenedor compilado".

A continuación, se detallan otros datos opcionales que pueden incluirse en el archivo YAML:

Direcciones de correo electrónico adicionales para recibir copia (CC) de todos los informes.

Página de inicio del proyecto.

Clave pública GPG para cifrar los correos electrónicos con los informes.

Ruta (relativa al repositorio) a un archivo de modelo de amenazas ("threat_model.md") que especifique qué código debe analizarse, la clasificación de vulnerabilidades o los formatos de los informes.

Opción para no recibir informes de errores estableciendo el parámetro "disabled: true".

Hasta el momento de redactar este texto, se han enviado un total de 116 *pull requests*. A diferencia de otros programas de notificación de vulnerabilidades, Anthropic declaró que no tiene intención de imponer un plazo de divulgación de 90 días para los hallazgos, dado el riesgo de que contengan falsos positivos.

"Si posteriormente validamos manualmente uno de estos informes a través de nuestro programa CVD existente, podríamos divulgarlo conforme a nuestra política de CVD, comenzando a contar 90 días desde el momento en que se le notifique que un humano ha validado dicho informe", añadió la empresa. "A medida que ganemos confianza en el rendimiento de OSS Scanner, es posible que en el futuro establezcamos un plazo de divulgación para ciertos informes de vulnerabilidades de alta gravedad".

La empresa de IA informó que ha identificado más de 29.000 posibles vulnerabilidades en algunos de los proyectos de software más importantes del mundo; de ellas, algo más de 6.000 fallos han sido comunicados a los responsables de su mantenimiento. Esto ha dado lugar a la emisión de 584 avisos de seguridad a fecha del 2 de octubre de 2026.

Este avance se produce al mismo tiempo que Anthropic presenta el Programa de Defensa de Infraestructuras Críticas (*Critical Infrastructure Defense Program*), destinado a proteger las infraestructuras críticas y el software de código abierto como parte de su "Misión Cibernética" (*Cyber Mission*).

Dado que la IA facilita cada vez más a los actores maliciosos el descubrimiento y la explotación de vulnerabilidades, la automatización de diversas fases de las operaciones cibernéticas y la ejecución de ataques a mayor velocidad y escala, el objetivo de esta iniciativa es dotar a los defensores de las herramientas adecuadas para combatir la amenaza, acelerar la implementación de correcciones y explorar nuevas arquitecturas y prácticas de programación seguras.

"Nuestra previsión es que, en un plazo de dos años, la IA favorecerá la defensa: resultará más sencillo detectar errores antes del lanzamiento, desarrollar software intrínsecamente seguro desde cero y defender activamente los sistemas mediante modelos", afirmó Anthropic.

Fuente:
The Hacker News
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Anthropic lanza escáner de vulnerabilidades de IA gratuito

AXCESS

Octubre 09, 2026, 04:03:12 PM