Anthropic ouvre un scanner gratuit de vulnérabilités pour l'open source

Anthropic a lancé le 8 octobre OSS Scanner, un service gratuit qui fait tourner ses modèles les plus avancés, dont Claude Mythos, sur des projets open source volontaires pour y débusquer des failles de sécurité. L'outil envoie directement aux mainteneurs des rapports contenant un scénario de reproduction, une explication du bug et, quand c'est possible, un correctif proposé — sans relecture humaine côté Anthropic avant l'envoi.

Un héritage de six mois de recherche

OSS Scanner n'est pas un coup d'essai : il s'appuie sur le Project Glasswing, une initiative antérieure de recherche sur la détection automatisée de vulnérabilités. Au cours des six derniers mois, Anthropic affirme que ses modèles ont identifié plus de 29 000 vulnérabilités candidates sur des logiciels open source très utilisés. Environ 6 000 ont été vérifiées manuellement par les équipes d'Anthropic, et près de 5 000 rapports non vérifiés ont été transmis directement aux mainteneurs qui en avaient fait la demande. L'entreprise situe ce bond dans la progression de ses propres modèles sur le benchmark de sécurité CyberGym, passés de moins de 20 % de détection début 2025 à 85 % aujourd'hui.

Un taux de validité élevé sur les cas critiques

Sur un échantillon plus resserré et plus sensible — 97 vulnérabilités jugées critiques ou de sévérité élevée — Anthropic indique que 85 rapports, soit 88 %, respectaient les standards de divulgation coordonnée habituels de l'industrie. Onze doublonnaient des bugs déjà connus, et un seul s'est révélé invalide. C'est ce ratio, plus que le volume brut, qui doit convaincre les mainteneurs méfiants envers un flux de rapports générés sans supervision humaine : un taux de faux positifs proche de zéro sur les cas les plus graves évite de noyer les équipes de sécurité déjà en sous-effectif.

Des témoignages concrets de mainteneurs

Plusieurs projets d'infrastructure ont accepté de commenter publiquement leur expérience. Daniel Stenberg, créateur et mainteneur de curl, bibliothèque utilisée dans une quantité immense de logiciels à travers le monde, explique qu'OSS Scanner « nous a aidés à découvrir plusieurs problèmes méritant d'être corrigés, dont l'une des pires vulnérabilités curl signalées ces dernières années ». Chez wolfSSL, Todd Ouska rapporte que sur 74 rapports reçus, seuls deux se sont révélés non valides, et cinq ont donné lieu à l'attribution d'un CVE. Côté PostgreSQL, Noah Misch note qu'« une fraction inhabituellement élevée des découvertes contenait des correctifs utilisables presque tels quels » — un gain de temps direct pour des équipes qui doivent normalement rédiger elles-mêmes le patch après avoir identifié le bug.

Qui peut rejoindre le programme

L'accès n'est pas ouvert à n'importe quel dépôt GitHub. Anthropic calque ses critères d'éligibilité sur ceux d'OSS-Fuzz, le programme de fuzzing de Google : les projets retenus doivent avoir un impact critique sur l'infrastructure logicielle mondiale ou sur la sécurité de leurs utilisateurs. Techniquement, le scanner construit d'abord le projet dans une machine virtuelle isolée avec accès réseau pour installer les dépendances, puis coupe cet accès avant de lancer l'audit de sécurité proprement dit — une précaution destinée à empêcher le modèle d'exfiltrer des données ou d'être manipulé pendant l'analyse.

Cette initiative s'inscrit dans une stratégie plus large d'Anthropic consistant à démontrer l'utilité défensive de ses modèles face aux inquiétudes sur leurs usages offensifs, un terrain sur lequel l'entreprise a aussi vérifié les capacités de ses modèles pour des défenseurs en cybersécurité ces dernières semaines. Reste une question structurelle : un outil gratuit massifie la détection, mais la charge de correction retombe toujours sur des mainteneurs bénévoles, dont la bande passante — contrairement à celle du scanner — n'est pas extensible à l'infini.

Une pièce dans la bataille pour la sécurité logicielle

Le secteur de la sécurité open source souffre depuis des années d'un déséquilibre connu : les grands projets d'infrastructure, comme curl, OpenSSL ou PostgreSQL, sont maintenus par un nombre restreint de bénévoles alors qu'ils sont intégrés dans des millions de systèmes commerciaux. Des incidents comme la faille Log4Shell en 2021 avaient déjà montré les conséquences en cascade d'une vulnérabilité négligée dans une dépendance largement réutilisée. OSS Scanner cherche donc à combler un manque structurel de moyens humains plutôt qu'à remplacer les audits spécialisés existants comme OSS-Fuzz. Anthropic présente d'ailleurs le programme comme un complément, pas une concurrence, en reprenant volontairement les mêmes critères d'éligibilité que l'initiative de Google pour éviter de disperser l'attention des mainteneurs sur deux dispositifs redondants.

Une automatisation qui reste sous surveillance

Le choix de publier des rapports sans relecture humaine marque une rupture avec les pratiques habituelles de divulgation responsable, où un chercheur en sécurité valide généralement chaque signalement avant de le transmettre. Anthropic assume ce pari en misant sur la fiabilité croissante de ses modèles plutôt que sur une supervision humaine qui limiterait le volume de scans possibles. Le taux de 88 % de rapports valides sur les cas critiques laisse malgré tout une marge d'erreur non négligeable, que l'entreprise devra réduire si elle veut étendre le programme à davantage de projets sans décourager les mainteneurs submergés par de faux signalements.