10月8日，Anthropic 发布 OSS Scanner，一个面向开源生态的”选择加入”式免费漏洞扫描服务，作为”Anthropic Cyber Mission”的一部分。加入的项目可获得由最强模型（含 Claude Mythos）定期执行的漏洞扫描，报告附带复现步骤与候选补丁，且不经人工复核即直达维护者，以加快节奏。
事件背景
随着语言模型发现漏洞的能力快速提升——在 CyberGym 学术基准上，LLM 从去年初不足 20% 的发现率升至今年超 85%——开源维护者收到的报告质量已显著改善。但 Anthropic 坦言，过去半年其用最新模型扫描了全球最重要的一批软件项目，识别出逾 2.9 万个候选漏洞，却只能人工复核约 6000 个，人类校验能力成为瓶颈。
核心内容
据 Anthropic 官方研究博客与多家安全媒体报道，OSS Scanner 受 Google OSS-Fuzz 启发，输出完全由模型生成、无人工分流，因此可更频繁扫描，但也意味着报告可能不正确或严重度有误。
- 过去半年识别逾 2.9 万个候选漏洞，向维护者报告超 6000 个，形成 584 份安全公告；
- 早期内部测试中 97 个高危发现里有 88% 达到其漏洞披露（CVD）标准，仅 1 个为假阳性；
- 外部渗透测试人员对 48 个项目中 97 个关键/高危发现核验，85 个（88%）达到 CVD 门槛；
- PostgreSQL、OpenSSL、wolfSSL、HotCRP 等维护者反馈信号质量高、附修复补丁可直接用。
影响与解读
该服务不强制 90 天披露期（因可能存在误报），给维护者留出验证空间；无力复核自动报告的维护者仍走既有人工验证披露通道。Anthropic 同日还公布 Critical Infrastructure Defense Program，意在用 AI 武装防御方。对维护者而言，关键提醒是：收到报告后必须先自行复现、测试补丁，再视为确认漏洞。
相关动态
截至发布，OSS Scanner 的 GitHub 仓库已收到 116 个加入 Pull Request。核心维护者可通过提交 PR 与 project.yaml 配置申请加入，筛选标准类似 OSS-Fuzz。
信息来源：Anthropic 官方博客、The Hacker News
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
评论(0)