Anthropic在10月8日上線OSS Scanner，為開源專案提供免費的漏洞掃描服務，專案可自由選擇是否接入。掃描工作由Claude Mythos等自家模型完成，產出的報告直接送到維護者手上，中間不經過人工審核或分級。
每份報告都附上一支可以獨立執行的重現程式，以及漏洞說明；若能定位問題，還會附上用二分搜尋找出的、導致缺陷的那次提交(commit)，並盡量給出修補建議。Anthropic在公告裡特別註明，這些報告可能存在錯誤，也可能是無效的。
哪些專案能申請
申請資格大致比照Google OSS-Fuzz的標準：專案要對基礎設施或使用者安全有「關鍵影響」，逐案評估。申請由專案的核心維護者提出，做法是在GitHub上向anthropics/oss-scanner這個倉庫送出PR，依照範本填寫專案資訊。
公告沒有說明單一專案多久會被掃描一次，也沒有交代維護者中途想退出該怎麼辦。揭露流程走協調揭露(CVD)，但具體期限公告裡同樣沒有列出。
半年試跑累積的幾組數字
Anthropic表示，過去半年用模型掃描開源程式碼，總共揪出超過2萬9000個候選漏洞，人工審查了其中約6000個。早期測試階段挑出97個被判定為高風險或嚴重的漏洞，分布在48個專案，85個符合其揭露流程要求，比例約88%。
另一組數字來自已經送出的報告：送到維護者手上的報告將近5000份；在公司提供的一份74份樣本裡，維護者確認72份有效，5份拿到了CVE編號。公告點名的專案包括PostgreSQL、OpenSSL、wolfSSL、HotCRP與Linux。
"The reports we received from Anthropic, raw model output included, were as good and sometimes better than what we get from people."
(我們從Anthropic收到的報告，包括模型的原始輸出，都跟人工提交的一樣好，有時甚至更好。)
為什麼拿掉人工這一關
Anthropic給出的理由是讓掃描「更快、更頻繁」。從自家數字來看，人力確實跟不上：2萬9000個候選裡，人工只看了大約五分之一。掃描規模一放大，複核這一步就落到維護者身上，分類判斷要花的時間也跟著轉嫁過去。
放回同業裡看
Anthropic說這項服務的靈感來自OSS-Fuzz。OSS-Fuzz是Google在2016年推出的專案，靠模糊測試(fuzzing)持續跑開源程式碼，一發現當機就自動通知維護者。OSS Scanner把這套做法換成語言模型讀程式碼、寫重現程式，門檻同樣卡在「關鍵專案」這一層。
本站之前報導過幾條相近的動態。Google曾因AI產生的漏洞報告量暴增，一度停止接收部分開源產品的報告；軟銀和OpenAI合作推出自動修補漏洞的服務，對象是企業客戶。三家的位置並不相同：Google在擋報告的量，OpenAI那條線做的是企業生意，Anthropic這次則是免費面向開源維護者，還把重現程式和修補建議一起打包，想靠報告品質來說服對方。
對維護者來說，接不接入要看自己的處理能力。將近5000份報告裡有多少已經修好、平均要花多久處理，公告並未揭露；接入的專案一多，沒人複核的報告會不會又變成負擔，得等申請名單公開後才看得出來。
參考來源：Anthropic官方公告(候選漏洞數、人工審查、揭露達標比例與報告數量)、anthropics/oss-scanner申請說明、CocoLoop；申請資格與報告構成經Anthropic公告核對。