Anthropic 推出 OSS Scanner：利用 AI 为开源项目提供免费漏洞扫描服务

当地时间 10 月 8 日，人工智能公司 Anthropic 正式推出名为 OSS Scanner 的漏洞检测服务。该服务旨在通过其最强大的 AI 模型（包括 Claude Mythos），为符合条件的开源软件提供免费的安全扫描。核心维护者只需按照标准模板向项目 GitHub 仓库提交拉取请求（PR）即可申请接入，审核标准类似于谷歌的 OSS-Fuzz，优先服务于对关键基础设施与用户安全影响重大的基础开源项目。据 Anthropic 透露，过去六个月里，利用最新模型对全球多款核心软件项目的扫描已检测出超过 2.9 万个候选漏洞。然而受限于人力，公司仅完成了其中约 6,000 个漏洞的人工审查与评估分级工作。对于未被人工复核的扫描结果，用户可通过现有的协调漏洞披露（CVD）流程获取报告，系统亦为需要第一时间获知详情的团队开辟了“快速通道”。在验证早期版本的过程中，Anthropic 委托资深渗透测试专家对 OSS Scanner 在 48 个项目中检出的 97 个严重与高危级别漏洞进行了人工复核。结果显示，其中 85 个漏洞（占比 88%）符合进入 CVD 披露流程的标准；剩余的 12 个中，有 11 个属于已知缺陷或与现有结果重合，仅 1 例被判定为误报。Anthropic 强调，尽管无法保证绝对完美，但将持续结合维护人员反馈及底层模型迭代优化该检测系统。目前，OSS Scanner 的扫描结果完全由大模型自动生成，不包含任何人工复核或分级排查流程。在过去的数周内，该系统已在数十个开源项目中完成了自动化检测流程的实测验证，展现了利用人工智能大规模提升软件安全防御能力的新路径。