公告内容
2026 年 10 月 8 日,Anthropic 推出 OSS Scanner,这是一项 免费、自愿加入(opt-in) 的服务,使用包括 Claude Mythos 在内的最强模型为开源项目查找漏洞。其灵感来自用模糊测试做同样事情的 Google OSS-Fuzz。
数据
据 Anthropic 称,过去六个月其模型在重要软件中发现了 超过 2.9 万个候选漏洞,但团队只人工审核了 约 6000 个。许多维护者要求即使未经审核也全部接收,公司已发送 近 5000 份 此类报告。
在学术基准 CyberGym 上,模型的发现率从去年年初的不到 20% 提升到今年的 85% 以上。
为验证扫描器,渗透测试人员审查了 48 个项目中 97 个严重和高危发现:85 个(88%)达到其协调披露(CVD)标准,11 个真实但重复,只有 1 个是误报。
注意:没有人工审核
OSS Scanner 的报告 完全由模型生成,没有人工分诊。这让扫描更快、更频繁,但 Anthropic 自己也提醒,部分报告可能有误或夸大严重性。每份报告包含复现代码、解释、漏洞引入时间的二分定位(如可能)以及候选补丁。
Anthropic 表示仍会继续经人工验证的 CVD 流程。
维护者的评价
页面引用了 PostgreSQL、OpenSSL、wolfSSL(74 份报告中仅 2 份无效,5 个成为 CVE)、HotCRP 和 curl 的反馈。curl 的 Daniel Stenberg 称其发现了"近几年最严重的 curl 漏洞之一"。
如何加入(GitHub 仓库)
按模板(project.yaml,必要时附构建用的 Dockerfile)向 github.com/anthropics/oss-scanner(Apache-2.0)提交 Pull Request 即可报名。只有 核心维护者 可以报名,资格标准与 OSS-Fuzz 类似:对基础设施和用户安全有关键影响,逐案决定。
同日:关键基础设施防御计划
据 SecurityWeek 报道,Anthropic 同日还与 11 家工业控制(OT)安全伙伴发布关键基础设施防御计划,包括 Accenture、CrowdStrike、Dragos、日立、Palo Alto Networks 和 Rockwell。
对企业意味着什么
- 热门库的补丁会更快、更多。 自动化依赖更新(Dependabot、Renovate),并关注安全公告。
- 攻击者拥有同样的工具。 正如 Anthropic 所说,如今漏洞利用几分钟就能写出来。
- 如果您维护关键开源项目,可以考虑报名,但要预留时间分诊未审核报告。
来源
- Anthropic(2026 年 10 月 8 日):https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner:https://red.anthropic.com/oss-scanner/
- 仓库:https://github.com/anthropics/oss-scanner
- SecurityWeek:https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
想梳理公司的依赖与补丁管理吗?KGA IT 提供免费咨询:kga-it.com