Anthropic ha presentato OSS Scanner, uno strumento gratuito che sfrutta i modelli AI più avanzati, incluso Claude Mythos, per individuare vulnerabilità nel codice sorgente dei progetti open source. L'annuncio rientra nella più ampia Cyber Mission, l'iniziativa con cui l'azienda californiana mette a disposizione le proprie capacità di sicurezza anche ai gestori delle infrastrutture critiche. L'obiettivo è chiaro: accelerare la scoperta di falle che, in molti casi, restano irrisolte per anni.
Come funziona e quanto è affidabile
OSS Scanner è un servizio opt-in e gratuito, ispirato a OSS-Fuzz di Google. Analogamente a Claude Security, la versione a abbonamento per le aziende, lo scanner analizza il codice e genera un report con dettagli sulla vulnerabilità, un proof of concept che mostra come potrebbe essere sfruttata e una possibile patch. Anthropic avverte però che gli output sono interamente generati dall'AI, senza revisione umana: questo permette scansioni più rapide e frequenti, ma apre alla possibilità di report errati o non validi.
I test preliminari su 97 vulnerabilità critiche e alte hanno dato risultati incoraggianti: 85 confermate da umani, 11 duplicate e un solo falso positivo. Un'affidabilità che, secondo l'azienda, rende il tool uno strumento concreto per i maintainer, spesso volontari e con risorse limitate. Negli ultimi sei mesi Anthropic ha già individuato oltre 29.000 vulnerabilità analizzando il codice sorgente di diversi progetti open source.
Non solo open source: il Critical Infrastructure Defense Program
L'impegno di Anthropic non si ferma ai progetti open source. L'azienda ha recentemente integrato Project Glasswing nel Cyber Verification Program e introdotto tre livelli di accesso, incluso lo Specialized Access con restrizioni minime, pensato anche per i gestori di infrastrutture critiche. Ora arriva il Critical Infrastructure Defense Program, che oltre all'accesso ai modelli più avanzati prevede l'invio sul posto degli ingegneri Anthropic per supporto tecnico diretto.
Il programma nasce dalla crescente ondata di attacchi informatici contro reti elettriche, telecomunicazioni, trasporti e servizi idrici. Poiché questi sistemi non possono essere spenti, le vulnerabilità note restano aperte per anni e i gestori si affidano a un piccolo numero di provider per l'installazione delle patch. I primi partner coinvolti sono Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC e Rockwell Automation.
