Anthropic lance OSS Scanner, un scanner de vulnérabilités gratuit basé sur l'IA
Anthropic a lancé le 8 octobre OSS Scanner, un outil gratuit et optionnel d'analyse de vulnérabilités destiné aux projets open source critiques. Il fait tourner les modèles les plus puissants de l'entreprise, dont Claude Mythos, sur les dépôts inscrits. Les mainteneurs s'inscrivent en ouvrant une pull request sur le dépôt anthropics/oss-scanner, avec un fichier project.yaml (dépôt, contact principal, chemin du Dockerfile) et, en option, un modèle de menace, une clé PGP ou une liste de destinataires en copie. L'audit se déroule sur l'infrastructure d'Anthropic, dans une machine virtuelle isolée sans accès à Internet. Le Dockerfile fourni par le projet construit d'abord le code avec accès au réseau. Des agents vérifient ensuite les bugs, analysent leur cause racine et proposent des correctifs. Chaque rapport contient un reproducteur autonome, une explication, si possible l'identification du commit fautif par bissection, et un correctif candidat. Onze jours après le lancement, Anthropic annonçait 114 projets acceptés sur environ 650 candidatures, ainsi que 77 failles critiques et 803 failles élevées selon l'évaluation des modèles. Sur 97 constats critiques ou élevés vérifiés par ses testeurs d'intrusion dans 48 projets, 85 (88 %) répondaient aux critères de divulgation coordonnée d'Anthropic, 11 étaient réels mais déjà connus ou en doublon, et un seul était un faux positif. wolfSSL a reçu 74 rapports dont 72 valides, et 5 ont donné lieu à des CVE. curl a corrigé la CVE-2026-92392, une faille de sévérité élevée de type use-after-free dans l'envoi HTTP/2, présente des versions 8.12.0 à 8.22.0 et corrigée dans la 8.23.0 publiée le 14 octobre 2026.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
Le point sensible tient à l'absence de relecture humaine avant l'envoi des rapports. Les mainteneurs obtiennent des découvertes plus rapidement, mais assument une charge de tri qui pèse d'ordinaire sur des équipes bénévoles et peu nombreuses. Certains signalent déjà des niveaux de gravité surévalués, et un modèle de menace bien rédigé devient décisif : sans lui, le scanner doit deviner ce qui relève d'une entrée hostile ou d'un code hors périmètre. Pour les projets qui parviennent à absorber ce flux, le gain est réel, car l'outil est gratuit, Anthropic en finance l'intégralité et les rapports arrivent avec reproducteur et correctif, ce qui réduit le travail de qualification. Pour l'écosystème, cela déplace le goulot d'étranglement de la découverte de failles vers leur correction.
Cette initiative répond à un problème de volume que l'entreprise a elle-même créé. En six mois, ses modèles ont fait remonter plus de 29 000 vulnérabilités candidates. Des relecteurs humains en ont trié environ 6 000, et près de 5 000 rapports supplémentaires sont partis directement vers des mainteneurs qui réclamaient tout, validé ou non. OSS Scanner formalise cette demande informelle. Son architecture s'inspire d'OSS-Fuzz de Google, en remplaçant les fuzzers par des modèles de langage. Anthropic relie le calendrier aux progrès mesurés sur le benchmark CyberGym, où les modèles sont passés de moins de 20 % à plus de 85 % de vulnérabilités trouvées. Son tableau de bord de divulgation recensait au 2 octobre 6 157 vulnérabilités divulguées dans 591 projets, dont 516 corrigées. L'écart entre ces deux chiffres illustre le défi des prochains mois. Le programme se positionne face à OSS-Fuzz, au programme Codex for OSS d'OpenAI, réservé aux mainteneurs approuvés, et à CodeMender de Google DeepMind.
Pas d'impact direct sur la France/UE