• OpenAnt es una herramienta de descubrimiento de vulnerabilidades basada en LLM (modelos de lenguaje grande) y de código abierto, diseñada para ayudar a los equipos de seguridad y a los mantenedores de proyectos open-source a identificar proactivamente fallos de seguridad verificados con mínimos falsos positivos y falsos negativos.

Publicado bajo la licencia Apache 2.0, OpenAnt está disponible en GitHub y aborda el creciente desafío de las vulnerabilidades descubiertas por IA en el software de código abierto.

La herramienta se basa en un pipeline de dos etapas: la Etapa 1 detecta posibles vulnerabilidades, y la Etapa 2 simula ataques de explotación en el mundo real. Solo los hallazgos que superan ambas etapas se muestran como resultados verificados, lo que aumenta significativamente la precisión en comparación con las herramientas tradicionales de análisis estático.

“Ante la explosión de vulnerabilidades descubiertas por IA, esperamos que OpenAnt sea la herramienta que ayude a los mantenedores de open-source a mantenerse un paso por delante de los atacantes,” señaló Knostic.

La herramienta fue desarrollada inicialmente como un proyecto de investigación por Nahum Korda, con la productización liderada por Alex Raihelgaus y Daniel Geyshis. Knostic también ha reconocido que algunas funciones siguen en beta y da la bienvenida a contribuciones de la comunidad.

Cómo funciona OpenAnt: un pipeline de detección en dos etapas

OpenAnt opera a través de un pipeline estructurado basado en CLI que los usuarios ejecutan contra repositorios locales o remotos. El flujo de trabajo incluye seis comandos secuenciales — parse, enhance, analyze, verify, build-output y report — o puede ejecutarse en un solo paso con openant scan --verify.

Actualmente, la herramienta soporta los siguientes lenguajes de programación:

Internamente, OpenAnt utiliza Claude Opus 4.6 a través de la API de Anthropic para sus etapas de análisis y verificación, lo que requiere que configures una clave API de Anthropic con acceso a ese modelo. Los datos de configuración y del proyecto se almacenan localmente en ~/.config/openant/ y ~/.openant/, respectivamente, con las claves API protegidas bajo permisos de archivo 0600.

Para instalarlo, necesitas Go 1.25 o superior para compilar el binario de la CLI, y la herramienta soporta tanto la clonación de repositorios remotos como la referencia a directorios locales, con la opción de fijar commits para escaneos reproducibles.

Este lanzamiento llega en un momento en el que las herramientas de investigación de vulnerabilidades impulsadas por IA están proliferando rápidamente, con OpenAI Aardvark (ahora Codex Security) y Claude Code Security de Anthropic operando en áreas similares.

Knostic ha dejado claro que no tiene intención de competir con esas plataformas, posicionando a OpenAnt como una alternativa transparente y enfocada en la comunidad, especialmente para mantenedores de open-source que pueden no tener acceso a herramientas comerciales de escaneo.

Knostic está actualmente en el proceso de divulgación de vulnerabilidades descubiertas durante el desarrollo de OpenAnt, lo que indica que la herramienta ya ha producido resultados accionables. La publicación de su código abierto también invita a investigadores independientes a validar, extender y mejorar sus capacidades de detección.

Los equipos de seguridad y desarrolladores de open-source pueden acceder a OpenAnt en GitHub y revisar detalles técnicos, incluyendo estimaciones de costos de tokens.