半年扫描发现超2.9万疑似漏洞：AI辅助开源安全项目闭环修复案例落地

网络传输工具curl于10月14日发布了8.23.0版本，其官方安全公告致谢栏明确列出了AI助手Luna with Claude及Anthropic的贡献。开发者Stefan Eissing随后完成了漏洞修复，标志着从AI发现到人工修复的完整闭环已实现。此次修复针对的是高危漏洞CVE-2026-92392，问题源于HTTP/2上传过程中的‘释放后使用’错误。恶意服务器可利用此缺陷在特定条件下实现远程代码执行，迫使curl团队在收到报告后29天内完成了从确认到发布的更新流程。为支持更多开源项目，Anthropic于10月8日宣布推出OSS Scanner服务。该服务调用包括Claude Mythos在内的最强模型，为符合条件的关键开源项目提供免费的定期扫描，交付内容包括漏洞解释、可独立运行的复现材料及候选补丁。针对AI报告准确性问题，Anthropic早期抽检显示在48个项目中审核的97项严重发现中，有85项达标，11项为重复问题，仅1项无效。此外，wolfSSL团队接收的74份报告中，72份被证实有效并转化为CVE编号。由于过去六个月AI生成的候选漏洞线索超过2.9万个，而人工审查仅完成约6000项，Anthropic决定不再对报告进行逐份专家审核，而是让维护者自行验证与分流。目前约有4900份未经预先验证的报告已开放获取供项目方使用。符合条件的开源项目可通过提交GitHub配置与构建文件申请接入该服务。系统将在隔离环境中完成构建与断网代码检查后，通过邮件发送报告。维护者可随时暂停或退出扫描计划，以确保自身安全节奏。curl创始人Daniel Stenberg在2026年10月披露，全球约有300亿个curl安装实例运行中，超过1500人曾为其贡献代码。此次修复案例证明，AI辅助工具能有效补充开源社区的人力资源短板，加速高危漏洞的响应速度。