Anthropic heeft twee nieuwe initiatieven gelanceerd die de manier waarop kwetsbaarheden worden opgespoord en aangepakt moeten versnellen. Met OSS Scanner wil het open source maintainers sneller toegang geven tot AI-gegenereerde bugmeldingen. Daarnaast start het een programma gericht op operationele technologie (OT), bedoeld voor bedrijven die systemen aansturen in sectoren als energie, water, industrie en transport.
De kern van deze aanpak: sneller naar maintainers en OT-partners, maar met aandacht voor de realiteit dat het verificatie- en patchproces vaak traag blijft. Dat is precies wat Anthropic zegt geleerd te hebben van eerdere inspanningen rond Project Glasswing.
Sneller rapporten naar maintainers: OSS Scanner
Anthropic introduceert OSS Scanner, een gratis service die (naar eigen zeggen) geïnspireerd is op OSS-Fuzz. In plaats van kwetsbaarheden uitsluitend te laten afhangen van handmatige ontdekking, laat de dienst periodiek open source projecten scannen met behulp van Anthropic-modellen die het “capabel” noemt.
Belangrijk is dat maintainers moeten opt-in om hun projecten te laten scannen. Pas dan ontvangt de maintainer rapporten die uit het onderzoek voortkomen.
Wat staat er in een AI-rapport?
Volgens Anthropic gaat zo’n rapport verder dan alleen een waarschuwing. Het document moet bevatten:
- een uitleg van de mogelijke kwetsbaarheid (wat er mis kan gaan);
- een Proof of Concept (PoC) die laat zien hoe misbruik mogelijk is;
- waar beschikbaar: een suggestie voor een fix.
Om te begrijpen waarom dit sneller kan werken, helpt het om het verschil te zien tussen “vindbaar” en “bruikbaar”. Kwetsbaarheden vinden is één stap; verifiëren, prioriteren en daadwerkelijk patchen is vaak de bottleneck. Anthropic stelt dat het vinden van fouten gemakkelijker is geworden, maar dat de opvolging nog steeds lastig is. In Glasswing-achtige gevallen duurden fixes volgens het bedrijf vaak maanden.
Geen menselijke review in de eerste levering
Waar OSS Scanner echt op afwijkt, is het tempo en de manier van overdracht. Anthropic zegt dat de rapporten model-generated zijn en zonder menselijke review naar maintainers worden gestuurd.
Dat heeft een voordeel: maintainers krijgen informatie sneller binnen en kunnen meteen starten met triage. Tegelijkertijd wil Anthropic verwachtingen managen, omdat AI-rapporten niet altijd volledig correct zijn. Het bedrijf noemt bijvoorbeeld mogelijk onjuiste inschattingen, zoals een verkeerde severity rating.
Anthropic zegt te verwachten dat de rapporten een true-positive rate boven 90% moeten hebben en dat die kwaliteit in de tijd verder moet verbeteren. Voor projecten die capaciteit hebben om door te pakken op meldingen, kan dat een praktische versnelling opleveren. Voor projecten die minder ruimte hebben om veel bevindingen te beoordelen, blijft menselijke validatie via het bestaande proces belangrijk.
Voor sommige projecten blijft menselijke verificatie leidend
Anthropic positioneert OSS Scanner nadrukkelijk als een manier om informatie sneller te delen met teams die het kunnen verwerken. Projecten die de bevindingen niet snel kunnen triagen, krijgen volgens het bedrijf verder human-verified disclosures via Anthropic’s coordinated vulnerability disclosure process.
Dat betekent in de praktijk: niet alles wordt “automatisch” direct als eindwaarheid behandeld. Door te differentiëren tussen snelle AI-rapporten en zorgvuldig gevalideerde meldingen wil Anthropic voorkomen dat open source teams verdrinken in ongeverifieerde output.
Wie open source security breed benadert, ziet dat dit vergelijkbaar is met wat je ook in andere contexten ziet: detectie versnelt, maar het organisatiemodel voor triage en patching bepaalt uiteindelijk hoeveel cyberrisico je echt verlaagt.
Nieuwe OT-focus: het Critical Infrastructure Defense Program
Naast OSS Scanner richt Anthropic zich ook op OT cybersecurity met het Critical Infrastructure Defense Program (CIDP). Dit initiatief moet providers ondersteunen die technologie leveren voor vitale systemen. Denk aan partijen die actief zijn in water, productie, energie en transport.
In tegenstelling tot open source draait OT vaak om omgevingen die niet zomaar kunnen uitvallen. Anthropic benadrukt dat veel OT-systemen niet offline kunnen voor patching. Daardoor kunnen bekende kwetsbaarheden jarenlang open blijven staan. In zeldzame gevallen kan patching bovendien, volgens Anthropic, decennia vergen om het veilig te kunnen uitvoeren.
Wie zijn de partners in het OT-programma?
Anthropic noemt een groep founding partners die uiteenloopt van consultancy- en technologiebedrijven tot security vendors en industriële spelers. Daarbij worden de volgende organisaties genoemd:
- Accenture
- Booz Allen
- CrowdStrike
- Deloitte
- Dragos
- Hitachi
- Insane Cyber
- Nozomi Networks
- Palo Alto Networks
- PwC
- Rockwell Automation
Het programma combineert volgens Anthropic frontier Claude modellen, on-site engineers en threat research. Het doel is om providers die OT beveiligen te helpen kwetsbaarheden te vinden én op een praktische manier te verhelpen—zodat klanten vervolgens ook gerichter kunnen remediëren.
Wat bedrijven in OT kunnen verwachten
Anthropic start het CIDP “met een kleine groep providers” om te leren welke strategieën het meest effectief en haalbaar zijn. Tegelijkertijd geeft het bedrijf aan dat verschillende partners al werken met Claude om kwetsbaarheden aan te pakken en om klanten te ondersteunen bij het fixen.
Dat is relevant omdat OT-security vaak om meer draait dan alleen patches. Je hebt te maken met onderhoudsvensters, veiligheidsvalidatie, afhankelijkheden in ketensystemen en een hoge impact op productieprocessen. Door het initiatief te richten op providers, probeert Anthropic het probleem opwaarts in de supply chain aan te pakken: eerst bij de partijen die tooling en componenten leveren, vervolgens bij de operators die die tooling inzetten.
Waarom deze twee initiatieven samenhangen
Op het eerste gezicht lijken OSS Scanner en CIDP twee verschillende werelden. Maar ze raken aan dezelfde kernuitdaging in cyberveiligheid: snelle ontdekking is niet hetzelfde als snelle risicoreductie.
In open source is het vaak een mix van tijd, capaciteit en prioritering die bepaalt hoe snel kwetsbaarheden leiden tot fixes. In OT speelt daarnaast ook de operationele realiteit mee: systemen kunnen niet zomaar worden stilgelegd en patching moet veilig zijn. Door in beide domeinen te focussen op wat er nodig is om van melding naar actie te gaan, probeert Anthropic de “verificatie- en patchgap” kleiner te maken.
Voor security teams die met dit soort AI-gestuurde trajecten werken, is het ook zinvol om breder te kijken naar hoe organisaties omgaan met kwetsbaarheden en samenwerkingen. Een voorbeeld van die bredere context is hoe in de praktijk kwetsbaarheden worden gepatcht en welke uitdagingen daarbij horen.
Als je wilt verdiepen in patch- en disclosure-aanpak rond concrete software-omgevingen, kun je ook lezen over eerdere updates en ervaringen met kwetsbaarheden en verhelpen, zoals in Bron: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
