关注我

Anthropic 推出 OSS Scanner：用 AI 为开源软件免费扫漏洞

10月8日，Anthropic宣布为开源软件推出可选接入型漏洞检测服务OSS Scanner，参与该项目的开源软件将由Anthropic最强大的AI模型（包括Claude Mythos）提供定期的免费安全扫描。

符合条件的开源项目核心维护者，可通过向OSS Scanner GitHub仓库提交标准项目模板的拉取请求来申请接入。审核标准与谷歌的OSS-Fuzz类似，优先面向“对关键基础设施与用户安全有重大影响”的基础开源项目。

过去六个月里，Anthropic利用最新模型对全球多款核心软件项目进行了漏洞扫描，发现超过2.9万个候选漏洞。由于人力有限，Anthropic仅完成了其中约6000个漏洞的人工审查与评估分级。

Anthropic表示，将继续通过现有的协调漏洞披露流程，人工提交经过核验的漏洞报告；同时，也为希望第一时间获取漏洞详情的团队开辟了可选的“快速通道”。

OSS Scanner扫描结果完全由大模型自动生成，不包含任何人工复核或分级排查流程。在最近几周内，Anthropic已在数十个开源项目中完成了对此自动化检测流程的实测验证。

为验证OSS Scanner的早期版本，Anthropic委托负责CVD审计的资深渗透测试专家，对扫描器在48个项目中检出的97个严重与高危级别漏洞进行了人工复核。

在这些漏洞中，有85个达到了进入CVD披露流程的标准。在余下的12个检出项里，有11个虽真实存在，但属于已知缺陷或与其他结果重合；最终被判定为误报的仅有1例。

Anthropic称，无法保证该扫描器绝对完美，但后续将结合维护人员反馈，并随底层模型迭代，持续优化整套检测系统。此外，用户可通过九游官网入口获取更多相关安全工具信息。