Anthropic ha lanzado un programa para aplicar Claude a infraestructuras críticas y un escáner gratuito para proyectos de código abierto. La oferta llega con una advertencia poco habitual: los informes de OSS Scanner se enviarán sin revisión humana y la propia empresa espera una tasa de verdaderos positivos superior al 90 %, no perfecta.
La Cyber Mission presentada el 8 de octubre tiene dos ramas. El Critical Infrastructure Defense Program reúne a proveedores como Dragos, CrowdStrike, Rockwell Automation, Palo Alto Networks y varias consultoras para buscar y reparar fallos en energía, agua, transporte y sistemas públicos. OSS Scanner ofrece análisis periódicos a mantenedores de proyectos abiertos que se apunten.
Un informe más rápido también puede ser un falso positivo más rápido
Anthropic promete que cada aviso de OSS Scanner incluirá una prueba de concepto, una explicación y una corrección sugerida cuando exista. A diferencia de las divulgaciones coordinadas de Project Glasswing, los resultados llegarán directamente al mantenedor sin que una persona de Anthropic los haya validado.
La empresa estima que más del 90 % serán hallazgos reales. Esa cifra es una previsión del proveedor, no un benchmark independiente publicado. Incluso si se cumpliera, la carga restante dependería del volumen: una precisión alta puede seguir inundando a un equipo pequeño si el escaneo produce cientos de avisos. Por eso Anthropic limita el servicio a proyectos con capacidad para tramitar los resultados y mantiene la ruta con revisión humana para otros casos.
Axios confirmó el lanzamiento y destacó dos huecos: no se ha explicado cómo se probarán y desplegarán las correcciones sin interrumpir servicios esenciales, ni quién asumirá todo el coste de cómputo en el programa industrial.
El orden correcto es encontrar, reproducir, priorizar y corregir
En software abierto, un mantenedor puede aislar una versión, reproducir la prueba y decidir si el parche rompe compatibilidad. En una planta o una red eléctrica, detener un sistema para aplicar una corrección puede ser más peligroso que mantener temporalmente la vulnerabilidad. La misma propuesta técnica necesita, por tanto, procesos distintos.
- Hallazgo: registrar versión, ruta afectada y condiciones necesarias para explotarla.
- Reproducción: confirmar el fallo en un entorno aislado y descartar resultados inventados o severidades exageradas.
- Prioridad: cruzar explotabilidad, exposición y efecto operativo, no solo una puntuación automática.
- Despliegue: preparar reversión, ventana segura y supervisión humana antes de tocar un sistema físico.
La novedad útil no es que Claude encuentre vulnerabilidades: Anthropic ya decía haber escaneado cientos de proyectos con Glasswing. Lo nuevo es convertir ese trabajo en un servicio recurrente y aceptar explícitamente que velocidad y revisión humana se separan. Para los mantenedores, eso hace que la capacidad de triage sea un requisito del producto, no un detalle posterior.
Nivel de evidencia: anuncio y documentación del creador, contrastados con cobertura independiente de Axios. No existe todavía una evaluación pública independiente de OSS Scanner.
Transparencia: artículo elaborado con asistencia de IA a partir de las fuentes enlazadas. No se han ejecutado los productos o sistemas descritos.
