veilletech.frCe qui se passe
Anthropic a présenté le 8 octobre 2026 OSS Scanner, un service sur inscription : les projets open source qui rejoignent le programme reçoivent des analyses de sécurité approfondies et périodiques, faites par ses modèles les plus puissants (Claude Mythos est cité), sans frais. Le service s'appuie sur l'expérience du projet Glasswing.
Anthropic compte choisir les projets avec des critères proches de ceux d'OSS-Fuzz, et demande une courte description quand l'importance du projet n'est pas évidente. Au moment de l'article, 116 pull requests d'inscription étaient déposées.
S'inscrire
Un mainteneur ouvre une pull request sur anthropics/oss-scanner avec un fichier YAML contenant :
- l'adresse du dépôt git à cloner ;
- l'e-mail du contact principal ;
- le chemin d'un Dockerfile qui prépare l'environnement, installe toutes les dépendances et construit le projet : l'agent travaille sans accès à Internet. Anthropic recommande de vérifier que les tests passent dans le conteneur construit.
En option : des adresses en copie de chaque rapport, la page d'accueil du projet,
une clé GPG publique pour chiffrer les rapports, un fichier threat_model.md
(quel code tester, classification des failles, format des rapports) et
disabled: true pour ne plus recevoir de rapports.
Le point à lire avant
Les sorties du scanner sont entièrement produites par des modèles, sans relecture ni tri humain : c'est ce qui permet des scans plus fréquents, et c'est pourquoi des faux positifs sont à prévoir.
Conséquence sur la divulgation : pas de délai de 90 jours imposé d'office. Si Anthropic valide ensuite un rapport à la main, via son programme de divulgation coordonnée, une divulgation peut intervenir 90 jours après la notification de cette validation humaine. Anthropic n'exclut pas d'imposer plus tard un délai sur certaines failles graves.
Le contexte chiffré
Selon Anthropic : plus de 29 000 vulnérabilités candidates identifiées dans des projets majeurs, un peu plus de 6 000 signalées aux mainteneurs, 584 avis publiés au 2 octobre 2026. L'annonce accompagne un programme pour les infrastructures critiques. L'éditeur prévoit que, d'ici deux ans, l'IA favorisera la défense.
Ce que ça change pour vous
Si vous publiez une bibliothèque ou un plugin, le coût d'entrée est un
Dockerfile reproductible, hors ligne, et un point de contact qui lira des
rapports non triés. À décider avant de s'inscrire : qui trie, sous quel délai, et
si un threat_model.md cadre l'analyse.
Source : Anthropic Launches Free AI Vulnerability Scanner for Open-Source Projects, The Hacker News, 9 octobre 2026. Annonce : Anthropic.