Anthropic : OSS Scanner signale 77 failles critiques en 11 jours

Anthropic a indiqué le 20 octobre 2026 que son OSS Scanner, qui recherche les vulnérabilités des logiciels open source à l'aide de modèles de pointe comme Claude Mythos, avait identifié 77 failles critiques et 803 de gravité élevée jugées par l'IA lors de ses 11 premiers jours d'activité, selon gamebusiness.jp. Le service est gratuit pour les mainteneurs, Anthropic prenant en charge tous les coûts.

Les rapports comprennent, lorsque c'est possible, du code de reproduction, une explication de la cause et des suggestions de correctif. Anthropic précise toutefois qu'il s'agit de la sortie brute du modèle, sans relecture humaine, et qu'ils peuvent contenir des faux positifs. Lors d'une validation initiale portant sur 97 constats critiques ou élevés dans 48 projets, des testeurs d'intrusion ont jugé que 85 d'entre eux (88 %) remplissaient les critères de signalement, avec un seul faux positif.

Le scanner a notamment trouvé CVE-2026-92392 dans curl, un use-after-free lors des téléversements HTTP/2 lorsqu'un serveur interrompt un flux, corrigé dans curl 8.23.0 publié le 14 octobre. Daniel Stenberg, responsable du projet curl, a qualifié la faille de l'une des pires rencontrées depuis longtemps ; il s'agit seulement de la troisième de sévérité High depuis 2021. L'exécution de code à distance a été démontrée dans des conditions précises, mais curl estime que celles-ci sont strictes et que le résultat le plus probable reste un plantage.

Un flux de signalements qui reste à encadrer

Le rapport avait été transmis le 15 septembre à partir d'une version préliminaire de l'outil, ce qui a conduit curl à avancer sa publication de deux semaines. Au 2 octobre, Anthropic disposait de 29 439 candidats issus de ses propres analyses, mais n'en avait examiné que 6 123 par des humains, et avait déjà envoyé près de 5 000 constats non vérifiés aux mainteneurs qui les demandaient.

Les analyses s'exécutent dans un bac à sable isolé d'Internet, à partir du Dockerfile du projet et, en option, de son modèle de menace ; aucun délai de divulgation de 90 jours n'est imposé et les rapports ne sont pas publiés. Le code d'exploitation joint aux courriels étant largement bloqué comme logiciel malveillant, les envois sont désormais entièrement chiffrés, et une livraison via GitHub Security Advisories est à l'essai. Les mainteneurs candidatent par une pull request ajoutant un fichier de configuration au dépôt GitHub anthropics/oss-scanner ; environ 650 demandes ont été reçues et 114 projets acceptés après examen.

Anthropic cite OSS-Fuzz, le service de fuzzing de Google proposé à l'open source depuis 2016, comme modèle, et propose déjà son produit payant Claude Security aux entreprises. En octobre 2025, OpenAI avait annoncé, en même temps qu'Aardvark (devenu Codex Security), une analyse gratuite pour certains projets open source non commerciaux.