---
title: Claude vindt 29.000 mogelijke fouten in open source software maar slechts 516 zijn hersteld
url: https://www.elseif.net/nl/claude-vindt-29000-mogelijke-fouten-in-open-source-software-maar-slechts-516-zijn-hersteld
published: 2026-10-14T13:27:14+00:00
language: nl
section: Modellen
source: https://thenewstack.io/anthropic-oss-scanner-vulnerabilities/
organizations: Anthropic
publisher: elseif
---

# Claude vindt 29.000 mogelijke fouten in open source software maar slechts 516 zijn hersteld

De nieuwe OSS Scanner van Anthropic, die vorige week is gelanceerd als onderdeel van een bredere Cyber Mission, heeft een probleem blootgelegd binnen de beveiligingsoperaties van het bedrijf. Het model Claude vindt potentiële kwetsbaarheden sneller dan menselijke onderzoekers deze kunnen verifiëren.

In een periode van zes maanden waarin veelgebruikte open source projecten werden gescand, identificeerden de modellen van Anthropic meer dan 29.000 kandidaat kwetsbaarheden. De menselijke beoordelingspijplijn, die gebruikmaakt van zes externe beveiligingsbedrijven voor triage en reproductie, heeft er slechts ongeveer 6.000 verwerkt.

Op 2 oktober waren 5.674 van de 6.123 beoordeelde bevindingen bevestigd als geldig, maar slechts 516 kwetsbaarheden waren daadwerkelijk hersteld. Er zijn 6.157 bevindingen naar beheerders gestuurd, wat resulteerde in 584 identifiers voor GitHub Security Advisory en CVE, hoewel sommige bevindingen beide kregen. Ongeveer 23.000 kandidaten zijn nog niet beoordeeld.

Om de wachttijd te verkorten, biedt Anthropic in aanmerking komende projecten gratis, periodieke scans aan via topmodellen zoals Claude Mythos. Deze bevindingen gaan direct naar de beheerders zonder voorafgaande validatie door Anthropic, een regeling die het bedrijf een optionele fast-track noemt. Bijna 5.000 van deze niet-gevalideerde rapporten zijn al verzonden naar beheerders die hierom vroegen.

Een vroege versie van de scanner produceerde 97 bevindingen met een hoge of kritieke ernst over 48 projecten. Hiervan voldeden 85 aan de eisen voor openbaarmaking, terwijl 11 van de overige 12 echte fouten waren die bekende problemen dupliceerden. Slechts één geval was een vals positief resultaat.

Anthropic erkent dat beheerders meldingen hebben gemaakt van opgeblazen ernstbeoordelingen en gevallen waarin de scanner het dreigingsmodel van een project verkeerd begreep. De rapporten bevatten echter vaak een zelfstandige reproducer, een uitleg over waar de fout is geïntroduceerd en een voorgestelde oplossing.

Beheerders van projecten zoals PostgreSQL, wolfSSL en curl melden dat de rapporten waardevol zijn. De oprichter van curl stelt dat de scanner meerdere problemen vond, waaronder een van de ergste kwetsbaarheden van de afgelopen jaren. De oprichter van wolfSSL meldde dat 72 van de 74 ontvangen rapporten geldig waren, waarvan vijf CVEs werden.

Voor de scans bouwt Anthropic elk project in een geïsoleerde virtuele machine zonder internettoegang. Toegang is beperkt tot gevestigde open source projecten die voldoen aan criteria vergelijkbaar met OSS-Fuzz en die beschikken over de middelen om rapporten te verwerken. Deelnemers moeten kernbeheerders zijn en bijgehouden moeten zijn met reeds gemelde kritieke kwetsbaarheden.

Niet-gevalideerde bevindingen hebben geen termijn van 90 dagen voor openbaarmaking. Wanneer een menselijke onderzoeker een bevinding later valideert, kan deze 90 dagen na melding worden openbaar gemaakt. Anthropic overweegt om in de toekomst een openbaarmakingstermijn te koppelen aan bepaalde bevindingen met een hoge ernst.