Anthropic重磅推出OSS Scanner，用最强AI模型为全球开源软件免费扫漏洞

人工智能企业 Anthropic 在当地时间10月8日正式宣布推出一项全新的可选接入型漏洞检测服务——OSS Scanner。该项目旨在利用 Anthropic 旗下最强大的 AI 模型（包括 Claude Mythos），为全球开源软件提供全面的定期免费安全扫描。

在申请接入方面，符合条件的基础开源项目核心维护者，只需按照标准项目模板向 OSS Scanner 的 GitHub 仓库提交拉取请求（PR）即可完成申请。其整体审核标准类似于谷歌的 OSS-Fuzz，主要面向那些对关键基础设施与用户安全具有重大影响的核心开源项目。

回顾前期的技术探索，在过去的六个月里，Anthropic 利用最新模型对全球多款核心软件项目开展了漏洞扫描，累计检测出超过2.9万个候选漏洞。不过，受限于有限的人力，目前仅能完成其中约6，000个漏洞的人工审查与评估分级。

对于漏洞的披露机制，Anthropic 表示将继续通过现有的协调漏洞披露（CVD）流程，人工提交经过核验的漏洞报告;同时，也为希望在漏洞报告产出后第一时间获取详情的团队开辟了一条可选的“快速通道”。

官方介绍显示，OSS Scanner 的扫描结果完全由大模型自动生成，并未包含任何人工复核或分级排查流程。在过去的数周内，Anthropic 已经在数十个开源项目中完成了对这一自动化检测流程的实测验证。

为了验证该扫描器的早期版本，Anthropic 委托负责 CVD 审计的资深渗透测试专家，对扫描器在48个项目中检出的97个严重与高危级别漏洞进行了人工复核。结果显示，其中有85个（占比88%）达到了进入 CVD 披露流程的标准;在余下的12个检出项里，有11个虽然真实存在，但属于已知缺陷或与本次扫描的其他结果重合，最终被判定为误报的仅有1例。

Anthropic 官方表示，虽然无法保证该扫描器做到绝对完美无误，但后续将结合维护人员的反馈，并随着底层模型的不断迭代，持续打磨并优化整套检测系统。