---
title: Anthropic lanza un servicio de escaneo de seguridad opcional para proyectos de código abierto
url: https://www.elseif.net/es/anthropic-lanza-un-servicio-de-escaneo-de-seguridad-opcional-para-proyectos-de-codigo-abierto
published: 2026-10-26T10:04:27+00:00
language: es
section: Modelos
source: https://www.infoq.com/news/2026/10/anthropic-oss-security-scanner/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=global
organizations: Anthropic, OpenSSL Corporation, wolfSSL, Google, Google DeepMind, Endor Labs
publisher: elseif
---

# Anthropic lanza un servicio de escaneo de seguridad opcional para proyectos de código abierto

La empresa de inteligencia artificial Anthropic ha lanzado OSS Scanner, un servicio gratuito y opcional diseñado para encontrar vulnerabilidades en proyectos de código abierto. Los mantenedores que se inscriban recibirán informes de seguridad periódicos generados por los modelos más potentes de la compañía, incluyendo Claude Mythos.

Estos informes se envían sin revisión humana, permitiendo que los mantenedores de los proyectos validen los hallazgos y decidan qué correcciones propuestas aceptar. Cada informe incluye una explicación de la vulnerabilidad sospechada y un reproductor autónomo. Cuando es posible, el sistema identifica el cambio que introdujo el error mediante bisección y proporciona un parche candidato.

La iniciativa surge porque la validación humana se había convertido en una limitación. Durante seis meses, los modelos identificaron más de 29,000 vulnerabilidades candidatas, pero los investigadores solo revisaron y clasificaron aproximadamente 6,000. Cerca de 5,000 informes no verificados, junto con parches propuestos, fueron entregados a mantenedores que solicitaron acceso anticipado.

Para probar una versión temprana, la empresa pidió a evaluadores de penetración que analizaran 97 hallazgos de severidad crítica y alta en 48 proyectos. De estos, 85 cumplieron los criterios de divulgación coordinada de vulnerabilidades, once eran reales pero duplicados y uno era inválido. Anthropic ha reconocido que algunos mantenedores han observado malentendidos sobre los modelos de amenaza de sus proyectos y calificaciones de severidad infladas.

Un ejemplo confirmado por un mantenedor es la vulnerabilidad de uso posterior a la liberación en la carga HTTP/2 de curl, identificada por Luna Tong de Anthropic. Este error, corregido en la versión 8.23.0 y registrado como CVE-2026-92392, podría permitir la ejecución remota de código en condiciones específicas, aunque fue calificado como alto en lugar de crítico debido a la dificultad de su explotación.

El proceso de inscripción requiere que los mantenedores principales realicen una solicitud de extracción en GitHub con la configuración del proyecto y un archivo Dockerfile. El escaneo se ejecuta sin acceso a internet tras la configuración. La elegibilidad se evalúa caso por caso, priorizando proyectos establecidos e importantes para la infraestructura y la seguridad del usuario.

Los proyectos pueden pausar o retirar los informes. Los hallazgos no validados no tienen un plazo automático de divulgación de 90 días, aunque aquellos validados manualmente posteriormente pueden entrar en el proceso de divulgación coordinada. Anthropic sigue ofreciendo divulgaciones revisadas por humanos para proyectos que carecen de recursos para clasificar hallazgos brutos.