# Anthropic推出免费开源安全扫描器 OSS Scanner

> Anthropic推出的 OSS Scanner 允许维护者自愿加入，为关键项目获取 AI 生成的漏洞报告和补丁。

Oossa · 2026-10-23 · https://oossa.com/zh/anthropic-launches-free-oss-scanner-for-open-source-security

Anthropic 于 2026年10月8日宣布推出免费服务 OSS Scanner。项目维护者可以注册，获取 AI 生成的安全报告，其中包括复现代码、漏洞说明和建议补丁。报告会直接发送给维护者，不经过人工审核；维护者可自行决定是否验证并应用修复。

## 服务如何运作

扫描由 Anthropic 最强大的模型执行，包括 Claude Mythos。维护者提交一个包含项目构建 Dockerfile 的 GitHub pull request 后，扫描器会在离线环境中运行，并通过电子邮件发送扫描结果。每份报告都会尝试通过二分查找定位引入漏洞的改动，并提供候选补丁。维护者还可以添加威胁模型文件，以指导严重程度评级和报告格式。

## 早期成果与社区反馈

在最初的六个月里，这些模型标记出超过 29,000 个潜在漏洞，其中约 6,000 个经过人工审核。早期采用者已经收到数十份尚未验证的报告。例如，PostgreSQL 维护者 Noah Misch 表示，快速通道报告中的修复方案“几乎可以直接使用”。wolfSSL 的 Todd Ouska 称，他们收到 74 份报告，其中除两份外均被证实有效，五份最终成为 CVE。curl 的 Daniel Stenberg 则表示，扫描器发现了一处 use-after-free 漏洞，该漏洞已在 curl 8.23.0 中修复（CVE-2026-92392）。

## 事实

- Anthropic 于 2026年10月8日宣布推出 OSS Scanner。
- 这些模型在最初的六个月里发现了超过 29,000 个潜在漏洞。
- 人工审核人员对其中约 6,000 个候选漏洞进行了分流审核。
- wolfSSL 收到 74 份报告，其中除两份外均有效，五份成为 CVE。
- 扫描器报告了 curl 的 CVE-2026-92392，该漏洞在 8.23.0 版本中得到修复。

## 为什么重要

如今，支撑互联网大部分服务的开源项目有了一种免费的自动化方式，可以及早发现安全漏洞，缩短漏洞暴露的时间。对开发者而言，这意味着人工代码审查工作可能减少、补丁发布更快；不过，在部署前仍需验证 AI 生成的修复方案。

## 来源与参考

1. [Anthropic Adds Opt-In Security Scanning for Critical Open-Source Projects](https://www.infoq.com/news/2026/10/anthropic-oss-security-scanner/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=AI%2C+ML+%26+Data+Engineering) – InfoQ, 2026-10-23

最后更新: 2026-10-23