Anthropic Adds Opt-In Security Scanning for Critical Open-Source Projects
AI company Anthropic has launched OSS Scanner, a free, opt-in service to find vulnerabilities in open-source projects. Enrolled maintainers receive periodic security reports generated by the company's strongest models, including Claude Mythos. The reports are sent without human review, and project
In seiner Ankündigung vom 8. Oktober erläutert Anthropics Frontier Red Team, dass die menschliche Validierung zu einem Engpass geworden ist. Über einen Zeitraum von sechs Monaten identifizierten die Modelle des Unternehmens mehr als 29.000 Kandidaten-Schwachstellen, doch die Forscher prüften und triierten etwa 6.000 davon manuell. Betreuer, die früheren Zugang wollten, hatten bereits nahezu 5.000 unverifizierte Berichte erhalten, zusammen mit vorgeschlagenen Patches, nachdem sie darum gebeten hatten.
Jeder Scanner-Bericht enthält einen in sich geschlossenen Reproduktor sowie eine Erklärung der vermuteten Schwachstelle. Wo möglich, identifiziert er durch Bisektion die Änderung, die den Fehler eingeführt hat, und liefert einen Kandidaten-Patch. Dies baut auf der Arbeit im Rahmen von Project Glasswing auf, über das InfoQ im April berichtete, als Anthropic den Zugang zu Mythos Preview auf teilnehmende Organisationen beschränkte.
Der PostgreSQL-Betreuer Noah Misch sagte, der Fast-Track-Zugang habe dem Projekt geholfen, Probleme vor einer General-Availability-Version zu beheben:
Das Unternehmen testete eine frühe Version des Scanners, indem es Penetrationstester bat, 97 kritische und hochgradige Funde über 48 Projekte hinweg zu bewerten. Davon erfüllten 85 die Kriterien für eine koordinierte Schwachstellen-Offenlegung. Elf weitere waren real,_duplizierte jedoch bekannte Probleme oder andere Scan-Funde, während einer ungültig war. Diese Ergebnisse beschreiben die ausgewählte Stichprobe und stellen keine Genauigkeitsquote für jeden Bericht dar, den der Dienst künftig liefern wird.
Anthropic hat jedoch eingeräumt, dass einige Betreuer überhöhte Schweregrad-Einstufungen und Missverständnisse der Bedrohungsmodelle ihrer Projekte festgestellt haben. Anton Arapov von der OpenSSL Corporation beschrieb die Rohberichte dennoch als "ebenso gut und manchmal besser als das, was wir von Menschen erhalten", insbesondere wenn ein funktionierender Exploit die Verifizierung unkompliziert machte.
Todd Ouska von wolfSSL berichtete, dass die Kandidaten-Patches in den bestehenden Verifizierungs- und Behebungsprozess des Projekts passten:
Es gibt auch ein vom Betreuer bestätigtes Beispiel außerhalb der Ankündigung. curls Daniel Stenberg schrieb eine HTTP/2 Upload Use-after-Free-Schwachstelle Luna Tong bei Anthropic unter Verwendung von OSS Scanner zu. Die in curl 8.23.0 behobene Schwachstelle CVE-2026-92392 könnte unter bestimmten Bedingungen die Ausführung von Code aus der Ferne ermöglichen. Stenberg stufte sie als hochgradig statt kritisch ein, da eine erfolgreiche Ausnutzung schwierig wäre; wahrscheinlicher wäre ein Absturz gewesen.
Anthropic nennt Googles OSS-Fuzz als Inspiration, wobei OSS Scanner Sprachmodelle zur Untersuchung des Codes einsetzt. Ein weiterer Vergleichspunkt ist CodeMender von Google DeepMind, über das InfoQ im Oktober 2025 berichtete. In der Startankündigung beschrieben die Forscher Raluca Ada Popa und Four Flynn eine automatisierte Patch-Validierung mittels Programmanalyse und Tests. Sie behielten die menschliche Prüfung vor der Einspeisung nach Upstream bei, anders als OSS Scanners direkte Auslieferung ungeprüfter Funde.
Auch die Arbeit, die auf die Entdeckung folgt, spielt in den Kommentaren der Community eine Rolle. Varun Badhwar schrieb auf LinkedIn: "Ein Upstream-Patch hilft nicht viel, wenn man drei Major-Versionen hinterherhinkt." Badhwar, CEO und Mitgründer des Anbieters für Anwendungssicherheit Endor Labs, argumentierte, dass Unternehmen klären müssten, ob verwundbarer Code erreichbar ist und ob sie einen Fix einspielen können, ohne Anwendungen zu zerstören.
Dimitrios Thomas schrieb auf LinkedIn, in persönlicher Funktion, dass Bewertungen "die Validierungsgenauigkeit, die Arbeitslast der Betreuer und die Zeit von der Entdeckung bis zum ausgerollten Fix" berücksichtigen sollten. Seine vorgeschlagenen Kennzahlen gehen über die Anzahl der gemeldeten Schwachstellen hinaus.
Die FAQ des Scanners beschreibt Agents, die Fehler doppelt prüfen, Patches vorschlagen und Ursachenanalysen durchführen, bevor Berichte per E-Mail verschickt werden. Diese automatisierte Prüfung ist von der menschlichen Überprüfung getrennt. Nachfolgende Scans suchen nach neu eingeführten Problemen und zuvor übersehenen Schwachstellen; ihre Häufigkeit hängt von Faktoren wie der Projektnutzung und der Auslastung des Dienstes ab.
Core-Betreuer registrieren sich über einen GitHub-Pull-Request, der die Projektkonfiguration und ein Dockerfile enthält, das Build und Abhängigkeiten vorbereitet. Das Scannen läuft nach der Einrichtung ohne Internetzugang, und eine optionale Threat-Model-Datei kann Umfang und Schweregrad-Erwartungen dokumentieren. Die Anspruchsberechtigung wird im Einzelfall geprüft, mit Vorrang für etablierte Projekte, die für Infrastruktur und Benutzersicherheit wichtig sind und bereits verifizierte hochgradige Berichte verarbeiten können.
Betreuer können das Threat-Model-Dokument nutzen, um nicht vertrauenswürdige Eingaben zu identifizieren, Komponenten auszuschließen und zu erläutern, wie sie Schweregrade beurteilen. Es kann auch bevorzugte Berichtsformate und Patch-Erwartungen festlegen. Anthropic prüft Registrierungsanfragen manuell, um zu bestätigen, dass der Antragsteller ein Core-Betreuer ist und dass die Funde einen autorisierten Sicherheitskontakt des Projekts erreichen.
Projekte können Berichte pausieren oder zurückziehen. Unvalidierte Funde unterliegen keiner automatischen 90-Tage-Frist für die Offenlegung, obwohl ein Bericht, der später manuell validiert wird, in den separaten Prozess der koordinierten Offenlegung eintreten kann, dessen 90-Tage-Zeitraum beginnt, wenn die Betreuer über diese Validierung informiert werden. Das Unternehmen bietet weiterhin menschlich geprüfte Offenlegungen an, insbesondere für Projekte, die nicht über die Ressourcen verfügen, um Rohberichte zu triieren.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
In its 8th October announcement, Anthropic's Frontier Red Team explains that human validation has become a constraint. Over six months, its models identified more than 29,000 candidate vulnerabilities, but researchers manually reviewed and triaged approximately 6,000. Maintainers who wanted earlier access had already received nearly 5,000 unverified reports, together with proposed patches, after asking for them.
Each scanner report includes a self-contained reproducer and an explanation of the suspected vulnerability. Where possible, it identifies the change that introduced the bug through bisection and supplies a candidate patch. This extends work conducted through Project Glasswing, which InfoQ covered in April when Anthropic restricted Mythos Preview access to participating organisations.
PostgreSQL maintainer Noah Misch said fast-track access had helped the project address issues before a general-availability release:
The company tested an early scanner version by asking penetration testers to assess 97 critical and high-severity findings across 48 projects. Of these, 85 met its coordinated vulnerability disclosure criteria. Eleven others were real but duplicated known issues or other scan findings, while one was invalid. These results describe that selected sample, rather than establishing an accuracy rate for every report the service will produce.
Anthropic have however acknowledged that some maintainers have seen some inflated severity ratings and misunderstandings of the threat models around their projects. OpenSSL Corporation's Anton Arapov nevertheless described the raw reports as "as good and sometimes better than what we get from people", particularly when a working exploit made verification straightforward.
wolfSSL's Todd Ouska reported that candidate patches fitted the project's existing verification and remediation process:
There is also a maintainer-confirmed example outside the announcement. curl's Daniel Stenberg attributed an HTTP/2 upload use-after-free vulnerability to Luna Tong at Anthropic using OSS Scanner. Fixed in curl 8.23.0, CVE-2026-92392 could permit remote code execution under specific conditions. Stenberg rated it high rather than critical because successful exploitation would be difficult; a crash was the more likely outcome.
Anthropic cites Google's OSS-Fuzz as an inspiration, although OSS Scanner uses language models to investigate code. Another comparison is Google DeepMind's CodeMender, reported by InfoQ in October 2025. In that launch announcement, researchers Raluca Ada Popa and Four Flynn described automated patch validation using program analysis and testing. They retained human review before upstream submission, unlike OSS Scanner's direct delivery of unreviewed findings.
The work that follows discovery also features in community commentary. Varun Badhwar wrote on LinkedIn: "An upstream patch doesn't help much if you're stuck three major versions behind." Badhwar, CEO and co-founder of application security vendor Endor Labs, argued that enterprises need to establish whether vulnerable code is reachable and whether they can adopt a fix without breaking applications.
Dimitrios Thomas wrote on LinkedIn, in a personal capacity, that evaluations should consider "validation accuracy, maintainer workload and time from discovery to a deployed fix". His suggested measures extend beyond the number of vulnerabilities reported.
The scanner FAQ describes agents that double-check bugs, propose patches and analyse root causes before reports are emailed. This automated checking is separate from human review. Subsequent scans look for newly introduced problems and issues missed previously; their frequency depends on factors including project usage and the service's workload.
Core maintainers enrol through a GitHub pull request containing project configuration and a Dockerfile that prepares the build and dependencies. Scanning runs without internet access after setup, and an optional threat-model file can document scope and severity expectations. Eligibility is assessed case by case, with priority given to established projects important to infrastructure and user security that can already handle verified high-severity reports.
Maintainers can use the threat-model document to identify untrusted inputs, exclude components and explain how they judge severity. It can also specify preferred report formats and patch expectations. Anthropic checks enrolment requests manually to confirm the applicant is a core maintainer and that findings will reach an authorised project security contact.
Projects can pause reports or withdraw. Unvalidated findings carry no automatic 90-day disclosure deadline, although a report later validated manually can enter the separate coordinated disclosure process, with its 90-day period starting when maintainers are notified of that validation. The company continues to offer human-reviewed disclosures, particularly for projects without the resources to triage raw findings.