Guia do Anthropic OSS Scanner
Análises gratuitas para equipes de código aberto com capacidade de investigar os resultados.
Anthropic OSS Scanner é um serviço gratuito de análise de vulnerabilidades para projetos de código aberto elegíveis que solicitem participação. Anunciado em 8 de outubro de 2026, examina periodicamente os repositórios inscritos com os modelos mais capazes da Anthropic e envia os resultados por e-mail. O ponto central é que os relatórios chegam sem revisão humana da Anthropic. A validação e a definição de prioridades ficam com o projeto.
Se você mantém uma biblioteca ou aplicação importante e tem capacidade de investigar os relatos, comece pelas perguntas frequentes oficiais. A inscrição ocorre por uma pull request no repositório da Anthropic. Baixar uma ferramenta ou comprar uma chave de API não inscreve o projeto.
Fontes verificadas em 9 de outubro de 2026. Este guia analisa o anúncio, as perguntas frequentes e o código de inscrição. Não inscrevemos um projeto nem executamos o scanner. Os números de desempenho foram informados pelo fornecedor. As fontes primárias vinculadas estão em inglês.
Quais projetos podem participar?
A Anthropic avalia caso a caso projetos consolidados com impacto importante na infraestrutura e na segurança dos usuários, seguindo critérios semelhantes aos do OSS-Fuzz. Considera a exposição a ataques remotos, inclusive o processamento de entradas não confiáveis, e a quantidade de usuários ou projetos dependentes. A FAQ não publica uma quantidade de estrelas que garanta aprovação automática.
Um mantenedor principal precisa fazer a solicitação, e a Anthropic verifica esse vínculo. Explique brevemente a importância do projeto e indique quem responderá pelo e-mail de segurança. O serviço se destina a equipes que já conseguem acompanhar relatórios verificados de gravidade alta ou crítica. A análise gratuita ainda exige tempo para triagem, correções e novas versões.
Diferenças em relação ao Claude Security e ao Claude Code
A FAQ do OSS Scanner e o repositório do Claude Code Security Reviewer descrevem caminhos diferentes:
| Ferramenta ou processo | Uso previsto | Acesso e resultado |
|---|---|---|
| OSS Scanner | Auditorias periódicas de projetos de código aberto aprovados | Serviço gratuito por inscrição; relatórios gerados por modelos e enviados por e-mail |
| Claude Security | Análise comercial de código e correção de vulnerabilidades | Produto empresarial com acesso separado |
| Claude Code Security Reviewer | Revisão de alterações durante o desenvolvimento | GitHub Action e fluxo /security-review independentes |
| Processo CVD habitual da Anthropic | Divulgação coordenada de falhas validadas | Relatórios revisados por pessoas, sujeitos à política de divulgação |
A publicação técnica de lançamento informa que o serviço usa os modelos mais fortes da Anthropic, incluindo Claude Mythos. Isso descreve o processamento interno, sem conceder download do modelo ou acesso geral à API do Mythos. O repositório público fornece configurações de inscrição e ferramentas de preparação, não um método documentado para reproduzir localmente todo o scanner hospedado.
Como inscrever um projeto
1. Prepare a compilação e o contato de segurança
Leia as instruções do repositório e o guia de contribuição. Prepare um Dockerfile que instale as dependências e compile o projeto. A compilação tem acesso à rede; a auditoria posterior não tem internet. Baixe durante a preparação tudo de que os testes precisam e confirme que funcionam sem conexão.
Os endereços de e-mail da inscrição são públicos. Prefira um endereço de segurança que possa ser publicado. Se solicitar relatórios criptografados com uma chave pública em pgp, eles serão enviados apenas a primary_contact; essa opção não pode ser combinada com auto_ccs.
2. Adicione a configuração
No seu fork do repositório da Anthropic, crie projects/my-project/project.yaml usando o modelo oficial. O exemplo mínimo abaixo pressupõe que os arquivos de compilação e de modelo de ameaças estejam no seu próprio repositório. Substitua o repositório e o contato de exemplo e crie os arquivos indicados:
repo: https://github.com/example/project#main
primary_contact: security@example.org
dockerfile: .oss-scanner/Dockerfile
threat_model: .oss-scanner/threat_model.md
Use a chave dockerfile em letras minúsculas, conforme o modelo e o validador. Como alternativa, coloque um arquivo chamado Dockerfile ao lado da configuração de inscrição e omita o campo dockerfile. Escolha apenas um local. O repositório Git analisado não precisa estar hospedado no GitHub.
O arquivo opcional threat_model pode descrever entradas não confiáveis, limites de segurança, comportamentos fora do escopo, critérios de gravidade e expectativas para reprodução e correções. Isso ajuda a interpretar o comportamento esperado, mas não garante que cada resultado respeite corretamente o modelo de ameaças.
3. Valide e confira o ambiente sem rede
Na raiz da cópia local do repositório de inscrição, os comandos documentados são:
python3 tools/validate.py
tools/check my-project
O primeiro valida as configurações de inscrição. O segundo compila o projeto e abre um shell sem rede para executar os testes. As instruções exigem Git, Docker e Python 3 com PyYAML. Execute apenas definições de projetos confiáveis, pois a compilação tem acesso à rede. Conferimos os comandos na documentação, mas não os executamos como teste do scanner.
4. Envie a pull request
Inclua um projeto por PR, preencha a lista de verificação e siga o processo de termos de uso e acordo de contribuição. A Anthropic confirma o papel do mantenedor antes da aprovação. Se o projeto aprovado não compilar na infraestrutura da empresa, o contato principal recebe um aviso.
Após a primeira análise, as seguintes procuram problemas novos e vulnerabilidades não encontradas antes. Não há promessa de frequência diária ou semanal fixa: a FAQ informa que a periodicidade depende da fila de projetos, do uso e de outros fatores.
O que os relatórios trazem e como ler os números
A Anthropic descreve relatórios enviados por e-mail com material de reprodução, explicação e uma proposta de correção quando disponível. Eles podem identificar, por bisseção, quando o erro foi introduzido. Agentes conferem novamente os resultados, mas isso não equivale à validação humana. A gravidade pode ser exagerada, o problema pode já ser conhecido e o modelo pode interpretar incorretamente as ameaças do projeto.
A avaliação inicial selecionou 97 resultados de gravidade alta ou crítica em 48 projetos: 85 atenderam aos critérios CVD, 11 eram problemas reais, mas duplicados, e um era inválido. Trata-se de uma amostra inicial selecionada, não de um teste independente de precisão para todos os níveis de gravidade. Ela também não mede quantas vulnerabilidades deixaram de ser encontradas.
A taxa de verdadeiros positivos “acima de 90%” citada no anúncio Cyber Mission é uma expectativa, não uma garantia. Na sua avaliação, separe problemas confirmados, duplicatas, erros de gravidade e relatórios inválidos.
Um fluxo de trabalho para mantenedores
As etapas abaixo são nossa recomendação, não um compromisso de serviço da Anthropic:
- Distribua e registre. Defina um responsável em uma caixa de segurança com acesso restrito e registre o ID do relatório, a revisão afetada e o estado inicial.
- Reproduza e elimine duplicatas. Confira o caso em um ambiente de testes isolado e compare-o com avisos ou relatos privados existentes. Uma duplicata pode descrever uma falha real sem exigir outra correção.
- Avalie o impacto. Confirme se o invasor controla a entrada, se o caminho é acessível nas configurações suportadas e quais privilégios são necessários. Aplique os critérios de gravidade do projeto.
- Revise a correção e publique a versão. Inspecione a alteração, acrescente um teste de regressão e confira a compatibilidade. Coordene correção e aviso antes de divulgar detalhes sensíveis.
Por exemplo, se um problema classificado como “crítico” exige privilégios de administrador, registre essa condição e reavalie o impacto. A classificação original incorreta não basta para descartar todo o relatório. Inclua os mal-entendidos recorrentes no modelo de ameaças e nas respostas à Anthropic.
Divulgação, pausas e dúvidas frequentes
Cada relatório inicia um prazo de 90 dias?
Não. A FAQ não impõe um prazo automático de 90 dias aos resultados não validados. Se a Anthropic os validar manualmente depois, poderá divulgá-los pela política CVD, contando a partir da notificação dessa validação humana. Isso não é uma promessa de sigilo permanente.
É possível pausar ou sair?
Sim. Uma PR com disabled: true pausa os relatórios; remover o diretório de inscrição retira o projeto. Relatórios CVD habituais, revisados por pessoas, ainda podem chegar. A FAQ também prevê aviso prévio e opção de saída caso a política de divulgação mude.
É gratuito e substitui outras verificações?
A Anthropic cobre o custo da análise dos projetos aprovados. Recomendamos manter verificações de dependências, testes e revisão humana de segurança: os dados publicados não demonstram cobertura completa. A decisão prática é se a equipe consegue transformar mais relatórios em correções verificadas sem sobrecarregar o processo de segurança.
Onde a OmniaKey entra
Para atividades separadas de desenvolvimento e correção, nosso guia de configuração do Claude Code explica a conexão da ferramenta, e o catálogo de modelos apresenta as opções atuais do gateway. O OSS Scanner é solicitado à Anthropic; uma conta OmniaKey não libera o serviço nem seus modelos internos.