A Anthropic caça falhas no seu projeto open source, de graça

01Pra que serve

• Receber relatórios de falhas de segurança no seu projeto sem pagar uma auditoria.
• Cada relatório traz uma prova de como a falha é explorada e, quando dá, uma sugestão de correção.
• A análise roda isolada: o projeto é compilado numa máquina virtual e examinado sem acesso à internet.

02O que você precisa

• Ser mantenedor de um projeto open source
• Conta no GitHub
• Um Dockerfile que compila o projeto
• Um e-mail de contato (fica público)

03Passo a passo

1. Faça um fork do repositório oficial de inscrição.

   Copiar

   https://github.com/anthropics/oss-scanner

2. Crie a pasta do seu projeto: projects/<nome-do-projeto>.
3. Dentro dela, crie o project.yaml a partir do modelo (templates/project.yaml). O mínimo é isto:

   Copiar

   repo: https://github.com/voce/seu-projeto
   primary_contact: seguranca@seudominio.com
   dockerfile: .oss-scanner/Dockerfile

4. Escreva um Dockerfile que instala todas as dependências e compila o projeto. Ele pode ficar no seu repositório (recomendado) ou na mesma pasta do project.yaml. Tudo que os testes precisam tem que ser baixado nessa etapa: a análise roda sem internet.
5. Opcional: um threat_model.md explicando o que é sensível no projeto. Ajuda o scanner a focar no que importa.
6. Abra o pull request. Os relatórios chegam no primary_contact.

04Prompts pra fazer com o Claude Code

Leia o README de https://github.com/anthropics/oss-scanner e prepare a inscrição deste repositório:
1. Um project.yaml com repo, primary_contact e dockerfile apontando pra .oss-scanner/Dockerfile.
2. Um .oss-scanner/Dockerfile que instala todas as dependências, compila o projeto e baixa tudo que os testes precisam (a análise roda sem internet).
3. Um rascunho de threat_model.md: o que um atacante iria querer aqui e quais partes recebem dados de fora.
Depois rode o build do Dockerfile e os testes dentro dele pra confirmar que funciona.

Recebi este relatório de segurança do OSS Scanner (abaixo). Explique em português, sem jargão: qual é a falha, quem conseguiria explorar e o que aconteceria. Depois reproduza a prova localmente, confirme se é real e proponha a correção com um teste que falha antes e passa depois.

[cole o relatório aqui]