Anthropic meluncurkan Anthropic OSS Scanner 8 Oktober 2026—layanan opt-in yang memindai kode open source berkala dengan model terkuat mereka tanpa biaya untuk proyek eligible.
Jadi pengumuman membedakan dua alur. Jalur coordinated vulnerability disclosure (CVD) melibatkan human review. Jalur fast track opsional mengirim laporan langsung dari model ke maintainer tanpa triage manusia terlebih dahulu.
Lantaran enam bulan belakangan Anthropic melaporkan >29.000 kandidat kerentanan internal, tim harus menafsirkan angka mentah dengan hati-hati. Sekitar 6.000+ sempat tim manusia tinjau—label “reviewed” bukan sama dengan “6.000 vulnerability terkonfirmasi unik.”
Namun fast track mempercepat respons maintainer yang punya kapasitas triage sendiri; trade-off false positive dan beban engineer naik.
Dua Alur: CVD Reviewed dan Fast Track
Output scanner opt-in “fully model-generated” tanpa human review bawaan—frekuensi scan lebih tinggi, validitas laporan variabel. Anthropic tetap publikasikan laporan yang manusia verifikasi lewat CVD, khususnya untuk proyek tanpa resource triage.
Maintainer yang meminta bulk submission (~5.000 laporan historis) menunjukkan permintaan lapangan: tim penyerang bisa mengeksploitasi temuan dengan cepat. Kecepatan patch penting; walau begitu, reproduce, uji, dan coordinated disclosure wajib jalan sebelum publikasi detail exploit.
Selanjutnya, enrollment lewat PR ke repo GitHub Anthropic mengikuti template OSS-Fuzz-like; eligibility “critical impact on infrastructure and user security” case-by-case. Bukan scanner otomatis untuk repo privat perusahaan tanpa opt-in.
False Positive dan Relevansi PHP/WordPress
Setiap temuan AI perlu validasi—unreachable code, preconditions impossible, atau misunderstanding threat model bisa muncul. Kemudian Anthropic melaporkan uji awal: 88% critical/high dari sample 97 temuan memenuhi bar CVD; maintainer tetap bisa dispute severity.
Plugin/theme WordPress open source, library PHP/Laravel, paket Composer, atau modul Node bisa mempertimbangkan layanan bila memenuhi syarat—OSS Scanner melengkapi, tidak menggantikan dependency scanning, code review, test, SAST/DAST, dan proses rilis keamanan internal.
Meski diskusi komunitas Hacker News (item 50064421) cocok untuk reaksi maintainer dan kekhawatiran false positive, thread itu bukan sumber fakta layanan bila bertentangan dengan post Anthropic.
Tim yang membangun integrasi agent di WordPress bisa melihat MCP Adapter WordPress.org terpisah dari pipeline security scanning.
Pengumuman: Anthropic research (8 Okt 2026). Halaman layanan: red.anthropic.com/oss-scanner.
