AI-translated from English; not yet reviewed by a fluent editor.

# Comment les mainteneurs open source peuvent s’inscrire à l’OSS Scanner d’Anthropic et trier ses rapports

> Un guide fondé sur la documentation concernant l’éligibilité à l’Anthropic OSS Scanner, l’inscription, la configuration d’une compilation hors ligne et la validation prudente de rapports générés par modèle qui n’ont pas été examinés par des humains.

By BIG CHANGE Editorial

Published: 2026-10-09T17:01:09.330Z
Updated: 2026-10-09T17:01:09.330Z
Canonical: https://bigchange.ai/blog/anthropic-oss-scanner-maintainer-enrollment-triage-guide

![A seated maintainer studies a blank report sheet beside a dark, unbranded monitor.](https://bigchange.ai/api/media/file/anthropic-oss-scanner-maintainer-triage-hero-v1.png)
Conceptual illustration of a maintainer reviewing an unverified scanner report; it does not depict a real report, finding or test. AI-generated illustration by BIG CHANGE.

L’OSS Scanner d’Anthropic est un service gratuit et facultatif qui analyse périodiquement des projets open source acceptés avec ses modèles les plus performants. Anthropic le présente comme un moyen rapide de recevoir des rapports dès l’analyse des projets, en complément de son processus de divulgation coordonnée examiné par des humains. Les rapports sont générés par des modèles et envoyés sans examen humain. L’inscription est donc une décision de capacité : le projet doit disposer de mainteneurs capables de vérifier indépendamment les constats de sécurité et de décider des corrections.

Ce guide s’adresse aux mainteneurs principaux de projets open source critiques pour la sécurité. Il décrit la procédure d’inscription documentée et une manière prudente de traiter un rapport. Les instructions s’appuient sur la documentation d’Anthropic vérifiée le 9 octobre 2026. BIG CHANGE n’a inscrit aucun projet, exécuté le scanner ni reproduit de vulnérabilité.

## Décidez d’abord si votre projet peut traiter ces rapports

Anthropic indique qu’il examine les projets établis ayant un impact critique sur les infrastructures ou la sécurité des utilisateurs. Parmi les signaux mentionnés figurent l’exposition aux attaques à distance et le nombre d’utilisateurs ou d’autres projets qui dépendent du logiciel. Les demandes sont examinées au cas par cas et Anthropic vérifie manuellement que le demandeur est un mainteneur principal. Selon Anthropic, le service vise les projets déjà capables de traiter des rapports de sévérité élevée ou critique vérifiés.

Avant d’ouvrir une pull request, répondez à ces questions avec les éléments propres à votre projet :

1. Êtes-vous un mainteneur principal habilité à déposer la demande d’inscription et à recevoir des rapports de sécurité confidentiels ?
2. Le projet répond-il au critère d’impact critique ? Pouvez-vous expliquer son rôle dans les infrastructures ou la sécurité des utilisateurs, son exposition aux entrées distantes ou son utilisation en aval ?
3. Disposez-vous de personnes et d’un processus pour examiner des rapports supplémentaires non validés, reproduire les constats sans risque, coordonner la divulgation si nécessaire et maintenir les correctifs ?
4. Pouvez-vous fournir un environnement de compilation reproductible avec les dépendances et les tests nécessaires à un audit hors ligne ?
5. L’adresse de contact indiquée convient-elle à la réception de rapports sensibles ? La configuration du projet est publique : utilisez un alias de sécurité ou une autre adresse que vous acceptez de rendre publique.

Si votre équipe ne peut pas examiner les rapports rapidement, Anthropic indique que son processus existant de divulgation coordonnée des vulnérabilités continuera à fournir des rapports vérifiés par des humains aux projets qui ont besoin de cette voie. L’OSS Scanner est une voie rapide supplémentaire, pas un remplacement de votre processus de sécurité.

## Préparez la demande d’inscription

Vous fournissez votre dépôt, votre autorité de mainteneur, un fichier de configuration et une recette de compilation. L’inscription se demande par une pull request au dépôt d’Anthropic « [`oss-scanner` dépôt](https://github.com/anthropics/oss-scanner) », en ajoutant « `projects/<project>/project.yaml`. Commencez avec le «  [ modèle de projet](https://github.com/anthropics/oss-scanner/blob/main/templates/project.yaml) » d’Anthropic et lisez la « [FAQ de l’OSS Scanner](https://red.anthropic.com/oss-scanner/) » actuelle avant l’envoi ; les instructions du dépôt peuvent changer.

Les champs obligatoires documentés sont les suivants :

| Champ | Informations à fournir |
| --- | --- |
| `repo` | URL HTTPS du dépôt Git à cloner. Le modèle d’Anthropic autorise le suffixe `#branch` ou `#tag` pour épingler une révision. |
| `primary_contact` | Une adresse e-mail pour les rapports et les questions. Elle est publique dans la configuration. |
| Emplacement du Dockerfile | Un chemin vers le Dockerfile relatif au dépôt, dans `project.yaml` ; ou un fichier nommé `Dockerfile` à côté de `project.yaml` dans le dépôt d’inscription. Fournissez exactement une de ces options. |

Les champs facultatifs comprennent `auto_ccs`, `homepage`, `threat_model`, `pgp` et `disabled`. Anthropic indique qu’une clé publique PGP chiffre les rapports envoyés par e-mail et ne peut pas être combinée avec `auto_ccs` ; avec PGP configuré, les rapports sont envoyés uniquement à `primary_contact`. Considérez toutes les adresses e-mail configurées comme publiques. `disabled: true` met les rapports en pause tout en conservant l’inscription ; supprimer le répertoire du projet désinscrit celui-ci.

### Rendez la compilation utile pour un audit hors ligne

Le Dockerfile doit préparer l’environnement, installer les dépendances et compiler le projet. Anthropic indique que la compilation initiale s’effectue avec un accès réseau, mais que l’audit s’exécute sans accès à Internet. Les dépendances ou ressources de test nécessaires à l’audit doivent donc être téléchargées lors de la préparation initiale du Dockerfile.

Anthropic recommande de placer le Dockerfile dans votre propre dépôt afin de pouvoir le mettre à jour sans modifier le dépôt d’inscription. Un modèle de menace est facultatif, mais fortement recommandé. Expliquez-y le code et les entrées qui comptent, ce qui est hors périmètre, la façon dont le projet évalue la sévérité, comment dédupliquer les constats et ce qui constitue une preuve de concept ou un correctif candidat utile. Il s’agit d’indications destinées au scanner, pas d’une preuve qu’un rapport est exact.

Avant l’envoi, Anthropic recommande deux vérifications :

1. Exécutez `tools/validate.py` pour vérifier la configuration du projet.
2. Construisez et testez le Dockerfile localement. Le dépôt propose `tools/check <name>` pour créer l’image comme le fait le scanner et ouvrir un shell dans l’image finale, sans réseau. Anthropic documente également `tools/check --qemu <name>` pour sa configuration fondée sur QEMU.

Ces vérifications sont des recommandations facultatives des instructions d’inscription ; elles ne prouvent ni qu’Anthropic acceptera le projet ni qu’une découverte ultérieure sera valide. Le dépôt précise que `tools/check` exécute le Dockerfile du projet avec accès réseau pendant la compilation. Sa note de sécurité avertit que la compilation peut accéder aux services de votre ordinateur et de votre réseau local ; utilisez une machine ou un environnement isolé adapté à une compilation Docker de confiance. La vérification locale standard nécessite Git, Docker, Python 3 et PyYAML. La variante `--qemu` utilise à la place Linux x86-64 et QEMU, avec Git, Python 3 et PyYAML.

## Envoyez la demande, puis attendez la décision sur le projet

Ouvrez une pull request ajoutant la configuration du projet ainsi que tout Dockerfile requis et, éventuellement, le modèle de menace. Si l’importance critique du projet pour la sécurité n’est pas évidente, expliquez-la brièvement. Anthropic vérifie manuellement que vous êtes mainteneur principal et peut contacter le projet par une autre voie en cas de doute.

Les documents publics d’inscription d’Anthropic décrivent des décisions au cas par cas ; ils ne garantissent ni l’acceptation ni un délai de réponse. Une pull request envoyée ne signifie pas que le projet est accepté. En cas d’acceptation, Anthropic indique qu’il analyse d’abord le projet, puis envoie par e-mail à `primary_contact` et aux personnes en copie configurées un ensemble de rapports. Des analyses régulières sont prévues ensuite, mais leur fréquence peut dépendre du pipeline de projets d’Anthropic et de la popularité du projet.

Le service est gratuit. Le projet doit néanmoins fournir du temps de maintenance pour les détails d’éligibilité, la construction et la maintenance du conteneur, le triage des rapports, la reproduction, la coordination de la divulgation et les éventuelles corrections.

## Traitez chaque rapport comme une piste, pas comme un verdict

Anthropic indique que les rapports peuvent contenir un reproducer autonome, une explication, une bissection pour localiser si possible l’introduction d’un bogue et un correctif candidat lorsqu’il existe. Les rapports sont générés par des modèles, sans examen ni triage humains. Les documents de lancement avertissent qu’ils peuvent être erronés ; Anthropic signale notamment que la sévérité peut être exagérée ou que le scanner peut mal comprendre le modèle de menace du projet. Un correctif proposé n’est pas un correctif approuvé.

Suivez votre processus de sécurité habituel et consignez chaque constat au niveau de preuve réellement fourni par le rapport :

1. **Conservez et délimitez le rapport.** Gardez l’e-mail original et l’identifiant du rapport dans le circuit de sécurité à accès restreint du projet. Vérifiez que le dépôt, la branche, le commit, le composant et le modèle de menace concernés correspondent à votre projet. Limitez l’accès aux personnes qui en ont besoin.
2. **Lisez le constat avant d’exécuter quoi que ce soit.** Identifiez le défaut allégué, le chemin de code concerné, l’entrée contrôlée par l’attaquant, les autorisations ou conditions nécessaires et l’impact revendiqué. Comparez ces éléments à votre architecture et à votre modèle de menace. Si le rapport ne fournit pas de détails de reproduction exploitables, demandez des précisions à Anthropic au lieu d’inventer les étapes manquantes.
3. **Reproduisez le constat dans un environnement isolé que vous contrôlez.** Utilisez un clone jetable ou une machine virtuelle, une révision connue et le reproducer documenté. N’exécutez pas un correctif suggéré par un modèle ni une preuve de concept sur la production, des données réelles d’utilisateurs ou un système tiers. Désactivez le réseau, sauf si votre procédure de test l’exige et que vous en avez délibérément limité l’accès.
4. **Vérifiez le résultat indépendamment.** Confirmez le comportement à l’aide des tests du projet ou d’un test de régression minimal. Vérifiez les versions concernées et si le problème est atteignable selon les véritables frontières de confiance du projet. Dans votre registre interne, distinguez « reproduit », « plausible mais non reproduit », « doublon » et « non applicable ».
5. **Examinez la bissection et le correctif comme des propositions.** Vérifiez vous-même les commits cités et les changements de code. N’appliquez un correctif candidat que sur une branche ; inspectez le diff, exécutez les tests pertinents et ajoutez un test de régression si nécessaire. Ne fusionnez pas simplement parce que le rapport indique une sévérité ou fournit du code.
6. **Coordonnez la divulgation et les corrections.** Suivez votre politique de sécurité existante et le processus de divulgation de l’écosystème concerné. Anthropic indique que les constats OSS Scanner non validés ne déclenchent pas de période de divulgation coordonnée de 90 jours et ne seront pas rendus publics par Anthropic. Si Anthropic valide ensuite manuellement un rapport via son programme CVD, sa FAQ indique qu’une période de 90 jours peut commencer à la notification de cette validation humaine. Cela ne supprime pas vos responsabilités juridiques, contractuelles ou liées à l’écosystème.
7. **Envoyez des retours précis et limités.** Anthropic invite les mainteneurs à répondre aux e-mails de rapport. Si un constat est invalide, en double, mal priorisé ou fondé sur une mauvaise compréhension du modèle de menace, indiquez le point précis et les éléments qui permettraient de corriger le rapport.

Si votre capacité change, la FAQ décrit deux commandes : définissez `disabled: true` dans une pull request pour mettre les rapports en pause, ou supprimez le répertoire du projet pour vous désinscrire. Confirmez le changement dans le dépôt avant de supposer que les analyses ont cessé.

## Ce que montrent — et ne montrent pas — les chiffres de validation d’Anthropic

Anthropic rapporte que des experts en tests d’intrusion ont examiné 97 constats de sévérité critique ou élevée issus d’une première version du scanner, sur 48 projets. Selon Anthropic, 85 satisfaisaient à son seuil CVD ; parmi les 12 autres, 11 étaient réels mais faisaient doublon ou recoupaient d’autres constats, et un était invalide. Anthropic cite aussi les retours des mainteneurs et indique s’attendre à un taux de vrais positifs supérieur à 90 %.

Ce sont les résultats de validation et les attentes rapportés par Anthropic, pas une réplication indépendante ni une garantie pour un nouveau rapport. L’échantillon testé a été sélectionné parmi les premiers résultats du scanner et couvre 48 projets ; il ne prouve pas que chaque résultat, évaluation de sévérité ou correctif futur sera exact. La conclusion opérationnelle est plus limitée : le système peut accélérer l’arrivée de rapports, tandis que les mainteneurs restent responsables de leur validation, de leur priorité et des corrections.

## Le grand changement

L’OSS Scanner offre aux mainteneurs de projets open source éligibles une voie facultative et gratuite pour recevoir périodiquement des rapports de sécurité générés par modèle avant examen humain. Le choix ne consiste pas simplement à accepter une analyse gratuite : il s’agit de déterminer si le projet peut absorber et valider sans risque un flux plus rapide de constats non vérifiés.

## Sources et lectures complémentaires

- [FAQ et instructions d’inscription à l’Anthropic OSS Scanner](https://red.anthropic.com/oss-scanner/) — éligibilité, vérification des mainteneurs, champs de configuration, exigences de compilation, fréquence des rapports, politique de divulgation et commandes de désinscription.
- [Le dépôt d’Anthropic «`oss-scanner` dépôt](https://github.com/anthropics/oss-scanner) » — procédure de pull request d’inscription, validation, outils de vérification locale et considérations de sécurité.
- [Modèle de configuration du projet](https://github.com/anthropics/oss-scanner/blob/main/templates/project.yaml) — exemple actuel des champs de configuration requis et facultatifs.
- [Anthropic : « Lancement d’un service facultatif de recherche de vulnérabilités pour les logiciels open source »](https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source) — description au lancement, contenu des rapports générés par modèle et premiers chiffres de validation attribués à Anthropic.
- [Anthropic : « Présentation de l’Anthropic Cyber Mission »](https://www.anthropic.com/news/anthropic-cyber-mission) — contexte du programme plus large et distinction entre les rapports OSS Scanner et la divulgation examinée par des humains.

*Guide fondé sur la documentation, vérifiée le 9 octobre 2026. BIG CHANGE n’a pas inscrit de projet, exécuté d’analyse ni reproduit de vulnérabilité.*

## Sources

- [FAQ et instructions d’inscription à l’Anthropic OSS Scanner](https://red.anthropic.com/oss-scanner/) — FAQ officielle sur l’éligibilité, la vérification des mainteneurs, les champs d’inscription, le contenu et la fréquence des rapports, la divulgation, la pause et le retrait.
- [Dépôt de l’Anthropic OSS Scanner](https://github.com/anthropics/oss-scanner) — README officiel d’inscription décrivant la configuration, les limites de compilation hors ligne, les outils de validation locale, les prérequis et la sécurité Docker.
- [Modèle project.yaml de l’Anthropic OSS Scanner](https://github.com/anthropics/oss-scanner/blob/main/templates/project.yaml) — Exemple officiel des champs de configuration obligatoires et facultatifs.
- [Lancement d’un service facultatif de recherche de vulnérabilités pour les logiciels open source](https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source) — Présentation d’Anthropic sur les rapports générés par modèle, leur contenu, l’inscription au cas par cas et les statistiques de validation préliminaires rapportées par le fournisseur.
- [Présentation de l’Anthropic Cyber Mission](https://www.anthropic.com/news/anthropic-cyber-mission) — Annonce d’Anthropic décrivant l’OSS Scanner dans le cadre du Cyber Mission et sa distinction avec les signalements CVD examinés par des humains.