Anthropic 推出 OSS Scanner：用最强模型免费扫描开源漏洞，早期验证中 97 个高危漏洞有 85 个达到披露标准

该服务把语言模型漏洞发现能力直接转化为面向开源项目的免费、定期、可选加入的安全审计，输出完全由模型生成，不含人工复核或分诊。 此前该团队通过 Project Glasswing 用 Claude 找漏洞，并以人工验证的协调漏洞披露流程发布结果；OSS Scanner 则新增一条可选快速通道，让维护者可在报告尚未验证时即收到全部报告与候选补丁。 文中说明该服务由最强模型（包括 Claude Mythos）生成报告，并称已用数十个开源项目验证该流程数周，初始披露包含数百份缺陷报告。

早期验证显示模型生成的严重与高危漏洞报告在多数情况下经得起专家复核：97 个漏洞中 85 个（88%）达到其协调漏洞披露流程的标准。 该数据来自请复核其协调漏洞披露发现的专家渗透测试人员，覆盖 48 个项目，为模型生成漏洞报告的可信度提供了人工复核证据。 剩余 12 个中，11 个是真实但重复的已知问题或同次扫描的其他发现，仅 1 个为无效报告；文中还提到维护者很少反馈高或严重发现无效，但部分维护者认为严重性评级可能被夸大或扫描器误解了项目威胁模型。

报告内容设计为可直接行动：每份报告包含自包含的复现程序、漏洞说明（在可能时包含确定缺陷引入时间的二分定位）以及可用时的候选补丁。 这使维护者无需先与披露方往返沟通即可评估与修复，文中称初始披露中已包含多个可串联成未认证远程代码执行利用的漏洞。 该描述来自对早期验证阶段数十个项目、数百份缺陷报告的说明，未给出逐条报告的统计分布。

该服务回应了人工验证瓶颈：过去六个月扫描发现超过 29,000 个候选漏洞，但仅能人工复核与分诊约 6,000 个。 文中称维护者越来越常主动要求批量接收全部未验证报告与候选补丁，迄今已应要求直接发送近 5,000 份报告；OSS Scanner 将这一做法产品化为可选快速通道。 这些数字来自该团队自述的运营统计，未提供独立审计；文中同时说明人工验证的协调漏洞披露流程仍会继续，尤其面向无力自行分诊的项目。

该服务面向符合 OSS-Fuzz 类似标准的开源项目，即对基础设施与用户安全具有关键影响的项目，由核心维护者通过提交 PR 按模板加入，资格逐案决定。它适用于希望尽快拿到全部未验证报告与候选补丁、并有能力自行分诊的维护者；对于无力自行分诊的项目，人工验证的协调漏洞披露流程仍会继续。报告由最强模型（包括 Claude Mythos）生成，可用于加速发现与修复，但文中明确说明报告可能不正确或无效。

早期验证的 97 个漏洞样本来自 48 个项目，尚不清楚该达标率在更大规模、更多类型项目上是否稳定。文中提到部分维护者认为严重性评级可能被夸大或扫描器误解项目威胁模型，这类反馈的分布与频率未给出。完全模型生成、无人工复核的报告在长期运行中会产生多少无效或重复报告，以及维护者自行分诊的负担如何变化，仍是开放问题。此外，文中未说明扫描频率、覆盖的代码范围与报告去重机制的具体细节。