Claude identifica 29.000 possíveis falhas em código aberto, mas apenas 516 foram corrigidas
14 de outubro de 2026 · 2 min de leitura
A Anthropic lançou na semana passada o OSS Scanner, como parte de sua Missão Cibernética, que revelou um problema em sua operação de pesquisa de segurança. O modelo Claude está identificando vulnerabilidades potenciais em uma velocidade superior à capacidade de verificação dos pesquisadores humanos.
Durante seis meses de análise em projetos de código aberto amplamente utilizados, os modelos da Anthropic detectaram mais de 29.000 vulnerabilidades candidatas. O fluxo de revisão humana, que utiliza seis empresas externas de pesquisa de segurança para triagem e reprodução dos achados, processou apenas cerca de 6.000 casos.
Um painel de divulgação indica que, até 2 de outubro, empresas de segurança externas confirmaram 5.674 como válidas, de um total de 6.123 achados revisados, porém apenas 516 vulnerabilidades foram corrigidas na origem. A empresa enviou 6.157 achados para mantenedores, resultando na emissão de 584 identificadores de GitHub Security Advisory e CVE, embora alguns achados tenham recebido ambos. Aproximadamente 23.000 candidatos permanecem sem revisão.
Para evitar que os mantenedores esperem a análise humana, a Anthropic oferece a projetos elegíveis varreduras periódicas gratuitas com seus modelos principais, incluindo o Claude Mythos. Esses achados são enviados diretamente aos mantenedores sem validação prévia da Anthropic, em um arranjo chamado de via rápida opcional. A empresa já enviou quase 5.000 relatórios não validados para mantenedores que os solicitaram.
Testes iniciais com especialistas em penetração mostraram que, de 97 achados de severidade alta e crítica em 48 projetos, 85 foram aprovados para divulgação e 11 eram falhas reais que duplicavam problemas conhecidos, havendo apenas um falso positivo. No entanto, a Anthropic admitiu que mantenedores relataram classificações de severidade infladas e casos em que o scanner interpretou erroneamente o modelo de ameaça de um projeto.
Os relatórios incluem um reprodutor independente, explicações sobre a introdução do erro e, quando possível, uma sugestão de correção. Mantenedores do OpenSSL Corporation, wolfSSL e PostgreSQL relataram que os achados foram úteis, com alguns sendo quase idênticos às correções necessárias. O fundador do The cURL Project afirmou que a ferramenta encontrou múltiplos problemas, incluindo uma das piores vulnerabilidades relatadas nos últimos anos.
O serviço é restrito a projetos de código aberto estabelecidos que atendam a critérios de elegibilidade semelhantes ao OSS-Fuzz e possuam recursos para lidar com os relatórios. A Anthropic verifica se o solicitante é um mantenedor principal e espera que o projeto esteja em dia com vulnerabilidades críticas já relatadas. A empresa executa cada projeto em uma máquina virtual isolada e sem acesso à internet antes da varredura.