Anthropic a annoncé le 8 octobre 2026 le lancement d’un service gratuit appelé OSS Scanner. Les responsables de projets peuvent s’y inscrire pour recevoir des rapports de sécurité générés par IA, comprenant du code permettant de reproduire les problèmes, des explications et des correctifs proposés. Les rapports leur sont envoyés directement, sans vérification humaine préalable ; les mainteneurs décident ensuite s’ils valident et appliquent les correctifs.
Fonctionnement du service
Les analyses reposent sur les modèles les plus puissants d’Anthropic, dont Claude Mythos. Après qu’un mainteneur a soumis une pull request GitHub contenant un Dockerfile permettant de compiler le projet, le scanner s’exécute hors ligne et envoie ses résultats par e-mail. Chaque rapport tente de déterminer, par bissection, quelle modification a introduit le bug, et propose un correctif. Les mainteneurs peuvent ajouter un fichier décrivant leur modèle de menace afin d’orienter l’évaluation de la gravité et le format du rapport.
Premiers résultats et réactions de la communauté
Au cours des six premiers mois, les modèles ont signalé plus de 29 000 vulnérabilités potentielles, dont environ 6 000 ont été examinées manuellement. Les premiers utilisateurs ont déjà reçu des dizaines de rapports qui restent à vérifier. Par exemple, Noah Misch, mainteneur de PostgreSQL, a indiqué que les rapports traités en priorité comprenaient des correctifs utilisables « presque tels quels ». Todd Ouska, de wolfSSL, a fait état de 74 rapports, dont tous sauf deux ont été confirmés comme valides ; cinq ont donné lieu à des CVE. Daniel Stenberg, de curl, a attribué au scanner la découverte d’un bug de type use-after-free, corrigé dans curl 8.23.0 (CVE‑2026‑92392).
Pourquoi c'est important
Les projets open source qui font fonctionner une grande partie d’Internet disposent désormais d’un moyen gratuit et automatisé de détecter rapidement les failles de sécurité, ce qui réduit la durée pendant laquelle ils restent vulnérables. Pour les développeurs, cela signifie moins de vérifications manuelles du code et des correctifs plus rapides, même s’ils doivent toujours valider les correctifs générés par IA avant leur déploiement.
