Anthropic 推出免费开源安全扫描服务 OSS Scanner，报告由模型生成、无人工复核
来源The Verge AI查看原文
速览
- Anthropic 上线 OSS Scanner，为开源项目免费提供漏洞扫描
- 服务采取 opt-in 机制，项目需主动报名加入
- 扫描由 Anthropic 最强模型执行，定期进行
- 报告全由模型生成，无人工复核与分诊
- 官方承认报告可能出错或无效
- 官方称无人工环节是为换取更快更频繁的扫描
Anthropic 发布名为 OSS Scanner 的新服务，面向开源项目提供安全漏洞扫描。Anthropic 表示，选择加入（opt-in）的开源项目将获得「由我们最强的模型进行的全面、定期安全扫描，且不收取费用」。这意味着开源项目可能更早收到潜在安全问题的提醒。但代价是，OSS Scanner 的报告完全由模型生成，不经过人工审查或分诊，因此报告有可能不正确或无效。Anthropic 称这一取舍是为了实现更快、更频繁的扫描。
关键事实
- Anthropic 推出名为 OSS Scanner 的开源安全漏洞扫描服务
- 该服务面向选择加入（opt-in）的开源项目，Anthropic 称扫描免费
- 扫描由 Anthropic「最强的模型」执行，且为定期、全面扫描
- OSS Scanner 的报告完全由模型生成，不含人工审查或分诊
- Anthropic 明确提示：报告可能不正确或无效
- Anthropic 给出的理由是：去掉人工环节可实现更快、更频繁的扫描
本站视角
这件事最直接的受益者是需要安全审计但缺乏预算的开源项目维护者，尤其是个人或小团队维护、却被大量下游商业产品依赖的基础库——这类项目恰恰是供应链攻击的高价值目标。我们的判断是：免费扫描本身是实质性的资源投入，但「无人工复核」这一条把成本转嫁给了维护者。模型生成的漏洞报告如果误报率高，维护者要花时间逐条排查，反而可能挤占本就稀缺的维护精力；如果漏报，则可能给项目和使用者带来虚假的安全感。因此这项服务的实际价值高度取决于误报率，而 Anthropic 目前并未公布任何准确率数据，也没有说明报告以何种形式交付、是否附带置信度或复现步骤。需要观察的是：扫描结果是否公开、由谁决定是否披露、以及发现真实漏洞后的处置流程由谁负责——这些细节决定了 OSS Scanner 是真正降低开源安全风险，还是只是把一批未经筛选的告警丢给社区。对国内做开源基础设施和依赖治理的团队来说，这类服务值得跟进，但在把它纳入流程前，应先评估其误报成本，不要默认模型输出可以直接当作漏洞清单使用。
背景与影响
开源项目的安全维护长期依赖志愿者和少量专职维护者，漏洞往往在被利用后才被发现，扫描与审计资源稀缺。Anthropic 以自家模型能力切入这一环节，等于把「AI 找漏洞」从研究演示推向面向真实开源项目的常态化服务。值得注意的是，Anthropic 在说明中主动划清了责任边界：报告由模型生成、不经人工分诊，可能不正确或无效。这意味着项目维护者拿到的是线索而非结论，仍需自行验证。对开源维护者而言，这可能是低成本获得早期预警的渠道；对 Anthropic 而言，这也是在真实代码库上检验模型安全能力、并积累开源社区关系的一种方式。
本文由 AI 辅助整理自公开信源，事实部分以原文为准；「本站视角」一节为编辑部判断，欢迎指正。版权归原作者所有，如有异议请联系我们。
