Anthropic Launches Free AI Vulnerability Scanner for Open-Source Projects

Lancement d’un scanner de vulnérabilités IA pour l’open source par Anthropic

Anthropic a lancé OSS Scanner, un service gratuit basé sur l’IA (utilisant notamment le modèle Claude Mythos) destiné à automatiser la recherche de vulnérabilités dans les projets open source. Contrairement aux outils traditionnels, ce scanner effectue des audits complets sans intervention humaine pour accélérer le processus de détection.

Points clés :

• Fonctionnement : Le service réalise des audits hors ligne dans des environnements isolés via Docker pour garantir la sécurité et la répétabilité.
• Admissibilité : Les mainteneurs peuvent inscrire leurs projets via une Pull Request sur GitHub en fournissant une configuration YAML incluant le Dockerfile de construction.
• Transparence et divulgation : En raison du risque de faux positifs générés par l’IA, Anthropic n’impose pas de période de divulgation de 90 jours par défaut. Une telle règle ne s’appliquera qu’après une validation manuelle humaine des vulnérabilités.
• Impact : Anthropic a déjà identifié plus de 29 000 vulnérabilités potentielles, menant à 584 avis de sécurité officiels.

Vulnérabilités :

• L’article ne mentionne pas de CVE spécifiques, car le scanner se concentre sur l’identification proactive de failles avant leur exploitation.

Recommandations pour les mainteneurs :

• Vérification : S’assurer que les jeux de tests passent correctement dans le conteneur Docker fourni pour permettre un audit optimal.
• Configuration : Utiliser le fichier threat_model.md pour définir précisément le périmètre du code à tester et les critères de classification souhaités.
• Sécurisation : Fournir une clé publique GPG pour sécuriser la réception des rapports par e-mail.
• Engagement : Les mainteneurs intéressés doivent soumettre leur projet sur le dépôt GitHub officiel d’OSS Scanner.

Source