Anthropic lança ferramenta com IA que caça falhas em código aberto

Equipes humanas não dão conta das 29 mil falhas

O serviço nasceu da experiência adquirida no Project Glasswing, iniciativa interna na qual a empresa empregou o modelo Claude para vasculhar repositórios de software e identificar fragilidades estruturais no código. Ao analisar os resultados obtidos, os analistas da Anthropic conseguiram revisar e triar manualmente cerca de 6 mil das 29 mil vulnerabilidades candidatas que os algoritmos apontaram. A checagem virou um gargalo técnico. Como invasores agora constroem programas de ataque em minutos, os mantenedores passaram a pedir o repasse imediato de todas as falhas pendentes, mesmo sem nenhuma validação humana prévia.

Para atender essa demanda urgente, a Anthropic já enviou quase 5 mil relatórios brutos diretamente a desenvolvedores que solicitaram todo o material acumulado de uma só vez. Inspirado no OSS-Fuzz da Google, iniciativa que caça defeitos com testes de fuzzing, o OSS Scanner formaliza esse envio rápido gerando avisos inteiramente criados por modelos de linguagem. Cada dossiê técnico inclui um método reprodutor da falha, a explicação do erro com bissecção do repositório para apontar quando o bug surgiu e um código de correção pronto quando disponível. A automação total traz erros.

Testes revelam falhas críticas e códigos funcionais de ataque

A Anthropic testou o fluxo de trabalho durante semanas com dezenas de projetos de código aberto e distribuiu centenas de relatórios com diagnósticos aprofundados. As primeiras análises revelaram múltiplas vulnerabilidades graves que especialistas puderam encadear para executar código de forma remota e sem autenticação nos sistemas afetados. O saldo técnico impressiona. No CyberGym, teste acadêmico do setor, os modelos de linguagem saltaram de menos de 20% de vulnerabilidades descobertas no início do ano passado para mais de 85% neste ano, reduzindo o envio de lixo eletrônico para as equipes.

Os responsáveis elogiaram a precisão. Todd Ouska, da wolfSSL, declarou que 72 dos 74 relatórios recebidos eram válidos e que cinco problemas viraram registros oficiais no catálogo CVE. Anton Arapov, da OpenSSL Corporation, afirmou que os alertas brutos superaram analistas humanos ao anexarem programas de invasão que facilitam a conferência imediata. Noah Misch, do PostgreSQL, e Eddie Kohler, do HotCRP, relataram que as análises compreenderam modelos complexos de permissões e permitiram sanar defeitos antes que os pacotes chegassem às versões públicas.

O novo canal gratuito contrasta com a estratégia comercial da companhia, que vende o produto Claude Security para empresas privadas protegerem e corrigirem suas próprias aplicações internas. Para projetos abertos menores que não possuem mão de obra técnica para filtrar alertas incorretos da máquina, a Anthropic manteve o processo tradicional de divulgação coordenada com revisão humana. A triagem final virou responsabilidade dos voluntários. Quem aderir ao programa precisa gastar tempo para validar os relatórios do Claude Mythos antes de aplicar os códigos de correção nos softwares que mantêm a internet em pé.