Anthropic 10 月 8 日上线 OSS Scanner，给开源项目提供免费的漏洞扫描，项目自愿接入。扫描由 Claude Mythos 等自家模型完成，报告直接发到维护者手里，中间不经过人工审核和分级。
每份报告包含一个可以独立运行的复现程序、一段漏洞说明；能定位时，附上用二分查找找到的引入该缺陷的提交，并尽量给出修复补丁。Anthropic 在公告里写明，这些报告可能有错，也可能无效。
谁能申请
资格参照 Google OSS-Fuzz 的标准：项目要对基础设施或用户安全有”关键影响”，逐个评估。申请由项目的核心维护者完成，方式是向 GitHub 上的 anthropics/oss-scanner 仓库提交 PR，按模板填写项目信息。
公告没有写单个项目多久扫一次，也没有给出维护者中途退出的流程。披露走协调披露（CVD），具体期限没有在公告里列出。
半年试跑的几组数字
Anthropic 称，过去六个月它用模型扫描开源代码，得到超过 2.9 万个候选漏洞，人工审查了其中约 6000 个。早期测试阶段挑出 97 个被判为高危或严重的漏洞，分布在 48 个项目，85 个符合它的披露流程要求，比例约 88%。
另一组数字来自已经送出的报告：发给维护者的报告接近 5000 份；在公司给出的一组 74 份样本里，维护者确认 72 份有效，5 份拿到了 CVE 编号。公告点名的项目有 PostgreSQL、OpenSSL、wolfSSL、HotCRP 和 Linux。
OpenSSL 方面的评价也写进了公告：
“The reports we received from Anthropic, raw model output included, were as good and sometimes better than what we get from people.” （我们从 Anthropic 收到的报告，包括模型的原始输出，和人提交的一样好，有时更好。）
为什么拿掉人工这一环
Anthropic 给的理由是让扫描”更快、更频繁”。从它自己的数字看，人力确实跟不上：2.9 万个候选里，人工只看了大约五分之一。扫描规模放开以后，复核这一步就落到了维护者那边，分诊的时间成本也跟着转了过去。
放在同行旁边看
Anthropic 说这项服务受 OSS-Fuzz 启发。OSS-Fuzz 是 Google 2016 年推出的项目，用模糊测试持续跑开源代码，发现崩溃后自动通知维护者。OSS Scanner 换成了语言模型读代码、写复现，门槛同样设在”关键项目”。
本站此前报道过几条相近的线。Google 曾因 AI 生成的漏洞报告刷屏，停收部分开源产品的漏洞报告；软银和 OpenAI 合作推出自动补漏洞服务，对象是企业客户。三家的位置各不相同：Google 在挡报告的量，OpenAI 那条线做企业生意，Anthropic 这次免费面向开源维护者，并把复现程序和补丁一起打包，想用报告质量说服对方。
对维护者来说，接不接入要看自己的处理能力。近 5000 份报告里有多少已经修复、平均处理周期多长，公告没有披露；接入项目一多，没人复核的报告会不会再次变成负担，要等申请名单公开后才看得出来。
参考来源：Anthropic 官方公告（候选漏洞、人工审查、披露达标比例与报告数量）、anthropics/oss-scanner 申请说明、CocoLoop；Anthropic 公告核对申请资格与报告构成。