Anthropic 在 10 月 25 日把一个免费的开源漏洞扫描器推到 GitHub 上线，这个项目叫 OSS Scanner，面向关键开源项目的维护者开放申请。项目仓库 10 月 8 日建仓，公开不到 11 天已经积累 1515 个星标、942 个 fork，开放 409 个 issue。扫描器跑的是 Anthropic 自家最强模型，包括 Claude Mythos，主打把关键开源项目里的高危漏洞提前找出来。
扫描器在隔离环境里构建项目
OSS Scanner 的工作方式并不复杂。维护者提交项目申请后，扫描器会在一个隔离的虚拟机里完成项目构建，随后在无外网访问的条件下分析代码，把报告连同复现步骤和可用的补丁一起发送到项目维护者填写的 primary_contact 邮箱。加入方式是向仓库提交 projects 目录下的 PR，同时提供 project.yaml 与 Dockerfile 两个文件。
这套设计把最敏感的部分留在了项目内部。开源项目可以先自行确认漏洞是否真实存在，再决定是否公开，而不是被扫描器直接推到公共渠道。
报告未经人工复核是最大争议点
扫描器给出的报告由模型生成，没有经过人工复核。Anthropic 因此明确表示，这套机制不设 90 天披露期，也不做公开披露。这点和行业里主流漏洞披露流程差别明显，好处是速度，代价是把甄别真假漏洞的工作转移给了项目维护者。
用 Claude 做这类代码级漏洞挖掘，并不是从零开始的想法。此前 Anthropic 演示过的形式化验证工作，已经让模型去证明上百个开源库的正确性，这条线上 Claude 对 123 个开源库做形式化验证 那条路子提供的是另一种参照：同样是把模型用在开源代码的关键路径上，一个走证明，一个走漏洞发现。
目前仓库什么状态
截至 10 月 25 日，仓库最后一次推送在当天，1515 个星标和 942 个 fork 说明关注度已经起来，409 个开放 issue 意味着申请和反馈还在密集涌入。对维护者来说，眼下最实际的判断标准是自家项目是否愿意接入这套流程，以及愿不愿意承担报告未经复核带来的甄别成本。
延伸阅读
- GPT-6 Astra 与人联手，解开悬置九年的数学难题1 月前
- 辛顿等 22 位学者首提 RSI 论文：AI 参与研发半年从 1% 升至 26%3 周前
- OpenAI 拟融资 300 亿美元：1.25 万亿估值背后的算力账单2 天前
- DeepSeek融资至少120亿美元：腾讯/CATL领投，估值750亿冲刺科创板IPO3 周前
继续读
同一批更新里这几篇值得一看：