Anthropic 推出 OSS Scanner：免费为开源项目扫描漏洞

Anthropic 推出免费开源漏洞扫描器 OSS Scanner

据 MarkTechPost 报道，Anthropic 已推出 OSS Scanner，一款面向关键开源项目的免费、自愿加入（opt-in）漏洞扫描服务。该工具由 Anthropic 的 Frontier Red Team 与 Safeguards Research 团队共同运营，使用公司最强模型（包括 Claude Mythos）对登记项目的代码库进行周期性审计，扫描在 Anthropic 自有基础设施上运行，维护者无需付费。报告生成后直接发送给项目维护者，中间不设人工复核环节。

背景与影响

据该报道，Anthropic 称在 10 月 8 日发布后的 11 天内，扫描共报告 77 个严重（critical）和 803 个高危（high）模型评级问题；截至 10 月 19 日，约 650 份申请中有 114 个项目获接纳。报道还称，Anthropic 请渗透测试人员抽查了 48 个项目中的 97 项严重与高危发现，其中 85 项（88%）达到其漏洞协同披露流程的标准，仅 1 项被判定无效；11 项虽属实但与已知问题重复。维护者一侧的数据也被引用：wolfSSL 表示收到的 74 份报告中 72 份有效。报道提到 curl 已修复一个高危 HTTP/2 上传释放后使用漏洞。设计思路被描述为借鉴 Google OSS-Fuzz，但以语言模型替代模糊测试器，目标之一是缓解人工复核瓶颈。

限制与来源

上述数字均为 Anthropic 与相关项目方自行披露，尚未获独立第三方确认。报道明确指出，报告在送达维护者前没有人工审核，分诊工作因此转移到项目团队；有维护者反映严重性评级偏高。未经验证的发现不适用 90 天披露期限。加入方式为在 anthropics/oss-scanner 仓库提交拉取请求，添加 project.yaml 与 Dockerfile；审计阶段在无网络的隔离虚拟机中运行。项目准入、支持范围与具体流程可能调整，请以 Anthropic 官网及仓库当前信息为准。本文不构成任何安全或投资建议。