Anthropic : Claude détecte près de 500 failles dans 25 projets open source
L'analyse a porté sur plus de cinq millions de lignes de code, et une compétence Claude réutilisable sera intégrée à OSS-Scanner.
Anthropic a publié une recherche dans laquelle son modèle Claude a analysé 25 projets open source majeurs écrits en C, C++, Java, PHP et Python, et a mis au jour près de 500 problèmes de sécurité. L'entreprise a également annoncé une compétence Claude réutilisable destinée à son service OSS-Scanner, selon TechRadar.
Les projets examinés totalisent plus de cinq millions de lignes de code. Claude a recensé plus de 17 000 options de configuration, dont 3 842 présentent un enjeu de sécurité. Les 11 projets conçus pour servir des utilisateurs authentifiés contenaient tous du code atteignable alors qu'il ne devrait pas l'être.
L'analyse relève 93 surfaces d'attaque pré-authentification dans les configurations par défaut, 37 cas de code exécuté avant l'authentification et 61 combinaisons de configuration qui affaiblissent les contrôles pré-authentification. Elle identifie aussi 162 combinaisons de configuration acceptées sans documentation expliquant leur comportement attendu, et une faille de configuration est restée indétectée pendant plus de deux décennies.
Le cas OpenSSH
Le démon d'OpenSSH pouvait atteindre 4 500 lignes de code expérimental d'algorithme de signature post-quantique avant de vérifier si la configuration du serveur l'autorisait. OpenSSH a publié un correctif dans la version 10.6, en octobre 2025, qui rend environ 20 % du code inaccessible aux clients non authentifiés.
Anthropic a combiné ces techniques dans une compétence Claude réutilisable, à intégrer à OSS-Scanner, son service gratuit de scan de sécurité pour les projets open source, sur inscription volontaire. La compétence validera les résultats par traçage dynamique du programme et testera les changements proposés par rapport au comportement existant, les modifications potentiellement perturbatrices étant laissées à l'examen humain.
En bref
Qu'est-ce qu'OSS-Scanner ?
C'est le service gratuit de scan de sécurité pour les projets open source d'Anthropic, auquel on souscrit sur base volontaire. Une compétence Claude réutilisable y sera intégrée.
Combien de problèmes de sécurité Claude a-t-il trouvés ?
Près de 500, sur 25 projets open source totalisant plus de cinq millions de lignes de code.
Quel correctif OpenSSH a été publié ?
La version 10.6, en octobre 2025, rend environ 20 % du code inaccessible aux clients non authentifiés.