Anthropic上线OSS Scanner：用最强模型为开源软件免费做漏洞体检

当地时间10月8日，Anthropic宣布推出OSS Scanner，这是一项面向开源软件、可按需接入的漏洞检测服务。凡加入该项目的开源软件，都会由Anthropic最强大的AI模型（其中包含Claude Mythos）定期提供免费的安全扫描。

接入门槛并不高。符合条件的开源项目核心维护者，只需依照标准项目模板，向OSS Scanner的GitHub仓库提交一个拉取请求（PR），即可完成申请。审核尺度参照谷歌的OSS Fuzz，重点照顾那些对关键基础设施与用户安全影响较大的基础开源项目。

据Anthropic介绍，过去半年间，它动用了最新模型对全球多款核心软件项目做漏洞排查，累计发现超过2.9万个候选漏洞。囿于人力有限，其中仅约6000个漏洞完成了人工审查与评级。Anthropic表示，会继续沿用现有的协调漏洞披露（CVD）流程，把经人工核验的报告逐一提交；同时，也为希望第一时间拿到详情的团队开辟了一条可选的快速通道。

需要强调的是，OSS Scanner的扫描结果完全由大模型自动产出，中间没有任何人工复核或分级环节。过去数周，Anthropic已在数十个开源项目上跑通了这套自动化检测流程。为检验早期版本，它还请来负责CVD审计的资深渗透测试专家，对扫描器在48个项目里检出的97个严重及高危漏洞做人工复核：结果有85个（占88%）符合进入CVD披露流程的标准；其余12个中，11个虽然真实存在，却属于已知缺陷或与其它结果重复；真正被判定为误报的只有1个。

Anthropic坦言，无法保证这套扫描器绝对无误，后续会结合维护者的反馈、伴随底层模型迭代，不断打磨整套检测系统。对长期人手紧张的开源社区来说，这种由大模型驱动的自动体检，或许能成为安全防护的前置关口。

文章与图片内容转载网络，如有侵权请联系平台删除