A Anthropic lançou o OSS Scanner, um serviço gratuito e opcional que usa seus modelos de IA mais fortes para caçar vulnerabilidades em projetos de código aberto. O resultado mais comentado veio do curl: o próprio criador da ferramenta confirmou que o scanner encontrou problemas importantes, incluindo uma das falhas mais graves relatadas nos últimos anos.
Como funciona o OSS Scanner
O serviço é uma evolução do trabalho feito pela Anthropic durante o Project Glasswing, iniciativa em que a empresa usou o Claude para identificar falhas de segurança. A ideia é simples: projetos que aderem passam a receber auditorias periódicas e automáticas, sem custo, feitas pelos modelos de maior capacidade da empresa.
Os relatórios são totalmente gerados por máquina, sem revisão humana prévia, e trazem um reprodutor autocontido, a explicação da vulnerabilidade — incluindo, quando possível, a “bissecção” que identifica quando o bug foi introduzido — e um patch candidato. A contrapartida da automação é o risco de falsos positivos, que a Anthropic admite abertamente.
Nos testes iniciais, a empresa pediu que especialistas em penetração revisassem 97 vulnerabilidades críticas e altas apontadas pelo scanner em 48 projetos. Do total, 85 (88%) passaram pelo padrão de divulgação coordenada; das 12 restantes, 11 eram reais, porém duplicadas, e apenas uma era um falso positivo.
O achado no curl e o que ele significa
O aval mais simbólico veio de Daniel Stenberg, criador do curl, ferramenta presente em bilhões de dispositivos. “O OSS Scanner nos ajudou a encontrar vários problemas no curl que mereciam tratamento, incluindo uma das piores vulnerabilidades relatadas nos últimos anos”, afirmou ele, citado no anúncio da Anthropic.
Até outubro de 2026, o serviço já havia revisado mais de 6 mil relatórios. Para projetos de código aberto, a promessa é clara: ter a mesma classe de análise que grandes empresas usam internamente, sem custo e sem depender de contratação. O anúncio completo está na página da Anthropic, com a cobertura do Neowin.
