OSS Scanner, lancé par Anthropic le 8 octobre 2026, est un service d'analyse de vulnérabilités à adhésion volontaire pour les logiciels open source. Les projets participants reçoivent des scans périodiques par les modèles les plus puissants d'Anthropic, gratuitement, et les rapports sont entièrement générés par le modèle, transmis aux mainteneurs sans relecture ni tri humain. Dans son article de recherche officiel, Anthropic présente ce service comme une voie rapide, parallèle à son processus existant de divulgation coordonnée, où les découvertes sont vérifiées par des humains avant d'être partagées.
Pourquoi sauter l'étape de la relecture humaine
Au cours des six derniers mois, Anthropic a scanné avec ses derniers modèles un ensemble de projets open source importants et a fait remonter plus de 29 000 vulnérabilités candidates, alors que son équipe n'a pu en examiner et trier qu'environ 6 000. Le goulot d'étranglement n'est pas la détection, mais la capacité de relecture humaine. Dans le même temps, de plus en plus de mainteneurs ont demandé à recevoir malgré tout les rapports non vérifiés en bloc, et près de 5 000 ont déjà été envoyés à leur demande. Le raisonnement est direct : un code d'exploitation fonctionnel peut désormais être produit en quelques minutes, et un défenseur qui reçoit un signal tardivement court un risque accru de se faire devancer. Les projets qui n'ont pas les effectifs pour trier des rapports bruts peuvent continuer à utiliser le canal existant de divulgation vérifiée par des humains.
Les chiffres de l'essai : 88 pour cent au niveau, un seul vrai faux positif
Avant le lancement, Anthropic a testé le scanner pendant plusieurs semaines avec des dizaines de projets open source, avec notamment des découvertes pouvant s'enchaîner jusqu'à l'exécution de code à distance sans authentification. Chaque rapport contient un cas de reproduction autonome, une explication de la faille (avec, lorsque c'est possible, la localisation du changement qui l'a introduite) et un correctif proposé. Les testeurs d'intrusion qui examinent habituellement les divulgations vérifiées d'Anthropic ont contrôlé 97 découvertes critiques et de gravité élevée issues de 48 projets : 85 répondaient aux exigences de ce processus, 11 des 12 restantes étaient réelles mais doublonnaient des problèmes connus, et une seule était invalide. L'équipe de wolfSSL a indiqué que sur 74 rapports reçus, tous sauf deux étaient valides et cinq sont devenus des CVE. Des mainteneurs de PostgreSQL et d'OpenSSL ont également réagi positivement. Anthropic reconnaît elle-même les limites : les niveaux de gravité peuvent être surestimés et le scanner peut mal comprendre le modèle de menace d'un projet.
Qui peut participer, et qui supporte la charge
Les mainteneurs principaux des projets éligibles peuvent candidater en soumettant une pull request au dépôt GitHub désigné par Anthropic, selon des critères proches de ceux d'OSS-Fuzz de Google, pondérés par l'impact critique du projet sur l'infrastructure et la sécurité des utilisateurs, avec une décision au cas par cas. La rapidité est la raison d'être de ce service, et la contrepartie est tout aussi claire : l'effort de tri passe des relecteurs d'Anthropic aux mainteneurs. Les équipes capables de vérifier vite les rapports gagnent un temps réel ; les petits projets déjà à court de bras risquent de ne pas absorber un flux de rapports non filtré et seront peut-être mieux servis par le canal vérifié. La première question à se poser n'est pas la puissance du modèle, mais de savoir si quelqu'un dans l'équipe peut suivre ce qu'il envoie.
