L’8 ottobre 2026 Anthropic ha annunciato un servizio gratuito chiamato OSS Scanner. I maintainer dei progetti possono iscriversi per ricevere rapporti di sicurezza generati dall’IA, completi di codice per riprodurre il problema, spiegazioni e patch suggerite. I rapporti vengono inviati direttamente, senza revisione umana, e spetta ai maintainer decidere se verificare e applicare le correzioni.
Come funziona il servizio
Le scansioni vengono eseguite dai modelli più potenti di Anthropic, tra cui Claude Mythos. Dopo che un maintainer invia una pull request su GitHub con un Dockerfile che compila il progetto, lo scanner esegue l’analisi offline e invia i risultati via email. Ogni rapporto cerca di individuare, tramite bisezione, la modifica che ha introdotto il bug e propone una possibile patch. I maintainer possono aggiungere un file con il modello delle minacce per orientare le valutazioni di gravità e il formato dei rapporti.
Primi risultati e riscontri dalla community
Nei primi sei mesi i modelli hanno segnalato più di 29.000 possibili vulnerabilità, di cui circa 6.000 sono state esaminate manualmente. I primi utenti hanno già ricevuto decine di segnalazioni non verificate. Per esempio, Noah Misch, maintainer di PostgreSQL, ha dichiarato che le segnalazioni rapide includevano correzioni utilizzabili «quasi così come sono». Todd Ouska di wolfSSL ha riferito di aver ricevuto 74 segnalazioni: tutte tranne due sono state confermate come valide e cinque sono diventate CVE. Daniel Stenberg di curl ha attribuito allo scanner la scoperta di un bug di tipo use-after-free, corretto in curl 8.23.0 (CVE‑2026‑92392).
Perché conta
I progetti open source alla base di gran parte di internet hanno ora a disposizione un modo gratuito e automatizzato per individuare tempestivamente i bug di sicurezza, riducendo il tempo in cui restano esposti. Per gli sviluppatori significa meno revisioni manuali del codice e correzioni più rapide, anche se dovranno comunque verificare le patch generate dall’IA prima di distribuirle.
