Anthropic, la empresa detrás de Claude, lanzó un servicio gratuito que revisa proyectos de código abierto en busca de fallas de seguridad. Se llama OSS Scanner y forma parte de un plan más grande que la compañía bautizó como Anthropic Cyber Mission.
Si usas librerías abiertas en tu trabajo, y casi todos lo hacemos, esta noticia te toca aunque nunca hayas escrito una línea de esas librerías.
¿Qué pasó?
El 8 de octubre de 2026 Anthropic presentó su Cyber Mission, un esfuerzo de largo plazo para dar a los equipos de defensa modelos, herramientas e investigación. Arrancó con dos piezas: OSS Scanner y un programa para proteger infraestructura crítica.
OSS Scanner es un servicio opt-in, es decir, solo entra quien lo pide. Los proyectos inscritos reciben escaneos periódicos hechos con los modelos más capaces de la empresa, sin costo. Anthropic dice que se inspiró en OSS-Fuzz, el programa de Google que lleva años probando proyectos abiertos de forma automática.
Cada reporte trae una prueba de concepto que muestra cómo se podría aprovechar la falla, una explicación y, cuando se puede, una propuesta de corrección. Ojo: los reportes los genera el modelo y se envían sin que una persona los revise antes.
Para inscribirse, quien mantiene el proyecto abre un pull request, o sea una solicitud de cambio, en el repositorio anthropics/oss-scanner de GitHub. Anthropic decide caso por caso y da prioridad a proyectos con impacto crítico en infraestructura y en la seguridad de los usuarios, un criterio parecido al de OSS-Fuzz.
Según SiliconANGLE, el servicio se paga con el Defender Advantage Fund de Anthropic. La empresa también anunció apoyo para la Python Software Foundation, la Apache Software Foundation, Alpha-Omega y la OpenSSF.
¿Y el programa de infraestructura crítica?
La otra pieza es el Critical Infrastructure Defense Program. Lleva modelos de frontera e ingenieros de Anthropic a empresas que protegen redes eléctricas, sistemas de agua y otras instalaciones. Entre los socios fundadores están Accenture, CrowdStrike, Deloitte, Palo Alto Networks, PwC y Rockwell Automation.
¿Por qué te importa?
Buena parte de las apps que usas a diario dependen de librerías abiertas que mantienen equipos pequeños, a veces una sola persona. Cuando alguien encuentra una falla en ellas, el problema llega a miles de proyectos.
La idea de Anthropic es que la IA encuentre esas fallas antes que los atacantes. El reto es otro: si llegan muchos reportes automáticos, alguien tiene que leerlos y corregir el código. Por eso la empresa aclara que el servicio está pensado para proyectos con capacidad de atender lo que se encuentre.
También hay un cambio en los tiempos. Según Anthropic, a estos hallazgos sin validar no les pone el plazo habitual de 90 días antes de hacerlos públicos; ese plazo solo corre si la falla pasa después por revisión humana.
¿Qué puedes hacer?
- Si mantienes un proyecto abierto muy usado, lee los requisitos en el repositorio de OSS Scanner antes de inscribirlo.
- Prepara quién va a revisar los reportes: un hallazgo automático puede ser un falso positivo y conviene confirmarlo antes de publicar un parche.
- Si solo usas librerías abiertas, activa las alertas de dependencias de GitHub o npm para enterarte rápido cuando salga una corrección.
- Actualiza tus dependencias con frecuencia en lugar de esperar meses; así aplicas los parches que salgan de estos escaneos.
- Nunca pruebes una prueba de concepto de un reporte en un servidor de producción; usa siempre un entorno aislado.
Sigue leyendo
Fuentes
- Anthropic: Introducing the Anthropic Cyber Mission
- SiliconANGLE: Anthropic launches critical infrastructure program and free OSS Scanner for open source
- Anthropic: OSS Scanner
Imagen de portada: imagen de TheDigitalWay en Pixabay.