Anthropic 推出 OSS Scanner，用 AI 免费扫描开源漏洞

当地时间 10 月 8 日，Anthropic 宣布推出 OSS Scanner，一项面向开源软件的可选接入型漏洞检测服务。符合条件的开源项目核心维护者，只需按标准模板向 OSS Scanner 的 GitHub 仓库提交申请，就能免费获得由 Anthropic 最强模型进行的全面、定期安全扫描，报告直接发送给维护者。

与传统的模糊测试不同，OSS Scanner 用语言模型替代规则引擎来发现语义层面的漏洞。扫描在切断网络访问的隔离虚拟机中进行，模型生成的报告包含可独立运行的复现脚本、定位漏洞引入时刻的二分分析，并在可能时附上候选补丁。Anthropic 明确表示，输出完全由模型生成、未经人工审核，以换取更快、更频繁的扫描节奏。

这一服务的底气来自此前的规模验证。过去六个月，Anthropic 用最新模型扫描了全球超过 1000 个开源仓库，发现超过 2.9 万个候选漏洞，但受限于人力仅人工审查了约 6000 个，最终向维护者直接发送了近 5000 份报告。在针对 48 个项目的早期复核中，资深渗透测试人员确认 97 个严重与高危漏洞里有 85 个（88%）达到协调漏洞披露标准，仅 1 例为误报。PostgreSQL、OpenSSL、wolfSSL 等项目的维护者都给出了积极反馈。

OSS Scanner 隶属于 Anthropic 更大规模的网络安全倡议 CyberMission，资金源自今年 8 月设立的“防御者优势基金”，该基金也支持 Python 软件基金会、Apache 软件基金会等组织。对于符合条件、希望借助 AI 修复漏洞的维护者，Anthropic 还提供 6 个月的 Claude Max 订阅。Anthropic 的思路很直接：在攻击者已经开始用先进 AI 找漏洞的时代，防御工具必须把“快”放在“准”前面。

当然，速度也伴随噪音风险。大量未经人工核验的报告涌向维护者，可能带来误报与优先级错判。对拥有专职安全团队的大项目，这种“以速度换完美”的模式价值明显；而对小团队，走包含人工验证的传统协调披露路径或许更稳妥。AI 找漏洞究竟能在多大程度上减少被利用的漏洞，仍需时间检验。