Claude, da Anthropic, expõe 94 falhas silenciosas de segurança escondidas em código open source

O Frontier Red Team da Anthropic colocou o Claude para analisar 25 projetos open source e voltou com 493 achados: código acessível antes da autenticação, configurações que se anulam silenciosamente e checagens de segurança executadas tarde demais. Em 94 desses casos, uma combinação de ajustes desligou um controle de segurança sem erro, sem aviso e sem documentação.

O caso mais assustador é um par de configurações que quebrava silenciosamente a exigência de certificados havia 21 anos em um servidor, permitindo conexões de qualquer pessoa enquanto os administradores acreditavam que certificados de cliente eram obrigatórios. No OpenSSH, o Claude encontrou cerca de 4.500 linhas de código experimental de criptografia pós-quântica acessíveis por clientes não autenticados, correção que reduziu em cerca de um quinto o código exposto antes do login em builds padrão.

A grande lição é uma mudança de mentalidade: em vez de esperar o próximo zero-day, você encolhe a superfície de ataque para que os bugs desconhecidos fiquem mais difíceis de alcançar. A Anthropic está transformando a técnica em uma skill reutilizável do Claude e integrando ao OSS Scanner, seu serviço gratuito de varredura para projetos open source, ou seja, mantenedores ganham uma camada extra de defesa sem custo.