Michael JohnsonEm 8 de outubro de 2026, a Anthropic anunciou o lançamento da Anthropic Cyber Mission, um programa de apoio à cibersegurança com frentes específicas para infraestrutura crítica e software de código aberto. Para os mantenedores de projetos de código aberto, a parte mais acessível é o OSS Scanner: uma adesão gratuita e voluntária, verificações regulares do código e relatórios que descrevem possíveis vulnerabilidades, exemplos de exploração e possíveis correções.
Os relatórios chegam mais rápido, mas precisam ser verificados
A Anthropic descreve o serviço como um canal adicional e rápido, paralelo ao seu processo de divulgação coordenada de vulnerabilidades. No processo habitual, os problemas encontrados passam por revisão humana antes de serem enviados aos mantenedores. No OSS Scanner, os modelos preparam relatórios que são enviados sem essa revisão. Isso agiliza a transmissão dos resultados, mas transfere para a equipe do projeto a avaliação inicial de sua precisão, gravidade e aplicabilidade.
A empresa espera que a proporção de descobertas confirmadas ultrapasse 90%, mas isso é uma previsão da Anthropic, não um resultado publicado de testes independentes. No anúncio, a Anthropic também informa que os relatórios podem conter imprecisões, inclusive avaliações incorretas de gravidade. Por isso, a equipe deve tratar cada relatório como um sinal que precisa ser reproduzido e verificado, e não como uma decisão definitiva sobre o lançamento de uma correção.
A adesão exige um ambiente preparado
O serviço é voltado aos principais mantenedores de projetos com relevância significativa para a infraestrutura ou para a segurança dos usuários. Para se candidatar, o mantenedor abre um pull request no repositório do OSS Scanner e adiciona a configuração do projeto. Ela deve especificar o repositório, um endereço de contato e um Dockerfile que prepare o ambiente e instale as dependências.
A Anthropic informa que, depois da criação do contêiner, a verificação é realizada sem acesso à internet. A empresa pede que seja preparado um ambiente no qual o projeto possa ser compilado e os testes executados. Também sugere a inclusão de um arquivo de modelo de ameaças, que pode descrever os componentes importantes, os níveis de gravidade aceitáveis, o formato das evidências e o tipo de correção esperado. Para a equipe, isso ajuda a delimitar o contexto da análise e a tornar os relatórios mais úteis.
Após a análise inicial, os mantenedores recebem por e-mail um conjunto de relatórios. A empresa planeja realizar novas análises; a frequência dependerá, entre outros fatores, do tamanho da fila de projetos e da popularidade do código. É possível pausar temporariamente a análise de um projeto pela configuração ou removê-lo do programa.
Para quem serve este novo canal
A Anthropic direciona o OSS Scanner a projetos cujas equipes já tenham capacidade para lidar com vulnerabilidades confirmadas de gravidade alta e crítica e queiram receber descobertas adicionais. Se os mantenedores já estiverem sobrecarregados com mensagens verificadas, o fluxo de relatórios automatizados poderá aumentar o trabalho em vez de acelerar as correções. Para esses projetos, a empresa mantém o envio de descobertas após revisão humana, no processo de divulgação existente.
Para as equipes de manutenção, um procedimento prático é primeiro verificar se a vulnerabilidade pode ser reproduzida em um ambiente isolado, depois avaliar seu impacto com base no modelo de ameaças do projeto e só então escolher uma correção e preparar o lançamento. Na configuração, é possível especificar a escala de gravidade desejada, os requisitos de evidências e o nível de detalhamento da correção. A Anthropic também informa que não impõe um prazo obrigatório de divulgação de 90 dias para descobertas automatizadas ainda não verificadas; esse prazo pode ser aplicado se a descoberta passar posteriormente por uma revisão manual no processo padrão.
O lançamento evidencia uma escolha concreta na análise automatizada de segurança: transmitir mais descobertas potenciais com maior rapidez ou verificá-las antes do envio. O OSS Scanner prioriza a velocidade e deixa a triagem dos resultados a cargo dos mantenedores. O valor do serviço para cada projeto dependerá de a equipe ter tempo suficiente para reproduzir as mensagens e transformar vulnerabilidades confirmadas em correções.