Un service gratuit qui livre les résultats plus vite
Anthropic a lancé OSS Scanner le 8 octobre dans le cadre de sa nouvelle Cyber Mission. Le service volontaire propose aux projets de logiciels libres admissibles des analyses de sécurité périodiques réalisées par les modèles les plus capables de l’entreprise, sans frais. Les responsables inscrits reçoivent des rapports qui peuvent comprendre une démonstration de l’exploitation possible, une explication du problème et une correction suggérée lorsqu’elle est disponible. Après une première analyse, le système doit revenir régulièrement pour repérer de nouvelles failles ou celles qui auraient été manquées. Cette voie rapide complète le processus coordonné de divulgation déjà utilisé par Anthropic. L’entreprise affirme avoir révisé plus de 6 000 rapports dans ce cadre avant octobre 2026. La révision humaine réduit les faux positifs, mais ralentit l’envoi. OSS Scanner retire cette étape pour les projets capables d’absorber davantage de signal brut. L’objectif annoncé n’est donc pas de remplacer toute analyse de sécurité, mais de remettre plus rapidement des pistes techniques aux équipes qui savent les reproduire, les classer et les corriger.
Les rapports ne sont pas validés par une personne
La principale limite est écrite clairement dans les modalités : les rapports d’OSS Scanner sont générés par les modèles et transmis sans révision humaine. Anthropic prévoit un taux de vrais positifs supérieur à 90 %, mais reconnaît que certains résultats seront inexacts, notamment dans leur cote de gravité. Un taux annoncé n’est pas une garantie pour un rapport précis. Une équipe pourrait recevoir une alerte crédible qui ne fonctionne pas dans son environnement, ou une vraie faille décrite avec une priorité inadéquate. Le service ajoute des agents qui contre-vérifient les bogues, proposent des correctifs et cherchent leur cause profonde. Malgré ces étapes automatisées, le responsable du projet doit reproduire le problème dans un environnement isolé, comprendre la portée du correctif et vérifier qu’il ne crée pas de régression. Anthropic n’impose d’ailleurs pas de délai public de 90 jours pour ces résultats non validés. Si l’entreprise confirme plus tard un rapport par son processus humain, ses règles habituelles de divulgation peuvent alors s’appliquer. Cette distinction évite de traiter chaque sortie du modèle comme une vulnérabilité établie.
L’admission vise les projets critiques déjà capables de trier
OSS Scanner ne s’adresse pas à tous les dépôts publics. Anthropic reprend des critères proches de ceux d’OSS-Fuzz : projet établi, effet important sur l’infrastructure ou la sécurité des utilisateurs, exposition possible à des attaques à distance et nombre significatif d’utilisateurs ou de projets dépendants. Chaque demande doit être faite par un responsable principal, dont l’identité est validée manuellement. L’entreprise précise aussi que le programme convient aux équipes qui arrivent déjà à traiter leurs rapports vérifiés de gravité élevée ou critique. L’inscription passe par une proposition de modification dans le dépôt public d’OSS Scanner. Le projet fournit l’adresse de son dépôt, un contact principal et un fichier Docker qui prépare un environnement complet. L’agent effectue ensuite son audit sans accès Internet dans un bac à sable renforcé. Les responsables peuvent ajouter un modèle de menace, leur méthode de classement et leurs préférences pour les correctifs. Ils peuvent aussi demander le chiffrement des courriels avec une clé GPG, suspendre les rapports ou retirer complètement leur projet. Ces choix donnent un contrôle réel, mais demandent du temps technique avant même la première analyse.
Anthropic étend le même pari aux infrastructures critiques
OSS Scanner est l’un des deux volets de la Cyber Mission. L’autre, le Critical Infrastructure Defense Program, vise les fournisseurs qui protègent les réseaux électriques, l’eau, le transport, les usines et certains systèmes gouvernementaux. Anthropic dit y apporter ses modèles de pointe, des ingénieurs sur place et ses travaux sur les menaces. Onze partenaires fondateurs sont nommés, dont Accenture, CrowdStrike, Deloitte, Dragos, Hitachi, Palo Alto Networks et Rockwell Automation. Plusieurs utiliseraient déjà Claude pour chercher et corriger des vulnérabilités. Le contexte diffère fortement d’un dépôt logiciel ordinaire. Un contrôleur industriel peut rester en service pendant des décennies et ne peut pas toujours être arrêté pour installer un correctif. Une recommandation juste sur le plan informatique peut devenir dangereuse si elle interrompt une pompe ou une chaîne de production. Anthropic reconnaît que l’IA ne règle pas ces contraintes et commence avec un petit groupe de fournisseurs. Pour les organisations québécoises, cette prudence compte davantage que la liste des partenaires : un modèle peut accélérer la découverte, mais l’exploitant demeure responsable du calendrier, des essais et de la sûreté du changement.
Ce que les équipes devraient vérifier avant de s’y fier
Pour un responsable de projet libre, la première question n’est pas de savoir si l’analyse est gratuite, mais si l’équipe peut traiter les résultats. Il faut désigner une personne qui reçoit les rapports, isoler les démonstrations, définir un seuil d’escalade et mesurer le temps consacré aux faux positifs. Un modèle de menace explicite peut réduire les recherches hors sujet. Les projets sans cette capacité peuvent continuer de recevoir des divulgations révisées par des humains plutôt que d’ouvrir un nouveau flux qu’ils ne pourront pas suivre. Pour les entreprises qui utilisent ces bibliothèques, l’existence d’OSS Scanner ne constitue ni une certification ni une preuve qu’une dépendance est sûre. Elles doivent encore tenir un inventaire de leurs composants, surveiller les avis des responsables, tester les mises à jour et déployer les correctifs selon leur propre risque. La promesse la plus tangible du programme est une réduction possible du délai entre découverte et rapport. Sa valeur réelle dépendra du nombre de failles confirmées, de la qualité des corrections et de la capacité des petites équipes à répondre sans être submergées. Anthropic dit vouloir améliorer le taux de vrais positifs; il faudra donc juger le service sur ses résultats observés, pas seulement sur cette cible.
