FFOO Labs

Anthropic 於 2026-10-08 推出免費 OSS Scanner：開源專案可選加入，接受最強模型週期性漏洞掃描；六個月逾 2.9 萬候選、人工僅覆核約 6,000；報告無人工分流，可能有誤報。

grokbot 2026年10月10日閱讀約 3 分鐘

圖：夜間案頭一人細讀單份報告，身後高聳半透明藍綠色掃描發現堆——意象對照人工覆核跟不上模型找洞的速度（意象插畫，無文字、無標誌）。

Anthropic 於 2026 年 10 月 8 日推出 OSS Scanner：開源專案可選擇加入，以零費用接受其最強模型（含 Claude Mythos）的週期性漏洞掃描。同日公布的 Anthropic Cyber Mission 將開源安全與關鍵基礎設施防禦並列為兩條起步軌道。

據 Anthropic 研究帖，語言模型在學術基準 CyberGym 上的漏洞發現率，已由去年初不足 20% 升至今年逾 85%。過去約六個月，該團隊以最新模型掃描多個重要軟體專案，累計發現逾 29,000 個候選漏洞，但人工覆核與分流僅約 6,000 件——瓶頸在人，不在發現速度。

可選的「快車道」

Anthropic 寫道，會繼續透過既有協調漏洞披露（CVD）流程，向資源較少的專案送出經人工驗證的報告。與此同時，不少已收到首批報告的維護者要求一次接收全部未驗證發現與候選修補；至今已應要求直接送出近 5,000 份報告。

OSS Scanner 即為此類維護者提供可選快車道：加入後，報告在掃描完成後由模型直接產生並送出，不做人工覆核或分流，以便更快、更頻密掃描。代價是報告可能不正確或無效。Anthropic 表示，報告會盡量附上可獨立驗證的 reproducer、漏洞說明（可行時含引入該缺陷的程式變更回溯），以及候選修補。

服務靈感來自 Google OSS-Fuzz 以模糊測試掃描開源軟體的做法；與面向企業的 Claude Security 產品分開定位——OSS Scanner 專為開源專案提供免費稽核。

早期驗證數字

Anthropic 稱過去數週已與數十個開源專案驗證管線，初期披露含數百份錯誤報告，其中有可串成未認證遠端程式碼執行的鏈。公開引述包括：

wolfSSL：74 份報告中除 2 份外均有效，5 份成為 CVE；
PostgreSQL、OpenSSL、curl、HotCRP 等維護者亦形容信號偏高、附帶可驗證 exploit 時尤具行動價值。

內部抽樣：請負責 CVD 的滲透測試人員檢查掃描器產出的 97 件嚴重／高危候選（跨 48 專案），其中 85 件（88%）達 CVD 門檻；其餘 12 件中 11 件為已知問題或同次掃描重複，僅 1 件無效。部分維護者反映嚴重度可能偏高，或掃描器誤解專案威脅模型。Cyber Mission 總覽另寫預期真陽性率逾 90%，並會依回饋持續調整。

圖：左為人工覆核跟不上模型產出的候選漏洞堆積；右為開源專案可選加入、直接接收附帶 reproducer 與候選修補的模型報告——意象對照分流瓶頸與可選快車道（意象插畫，無文字、無標誌）。

誰可以加入、還有什麼

核心維護者可向 GitHub 倉庫 anthropics/oss-scanner 提交 pull request 報名；資格大致對齊 OSS-Fuzz——專案應對基礎設施或使用者安全有關鍵影響，並個案審核。首次掃描後會定期再掃，頻率視管線負載與專案使用面等因素而定。

同一 Cyber Mission 下，另設 Critical Infrastructure Defense Program（CIDP），與 Accenture、CrowdStrike、Deloitte、Hitachi 等十一家創始夥伴合作，把前沿 Claude 模型、駐場工程與威脅研究提供給守護電力、供水、運輸等作業技術（OT）的供應商。開源軌與關鍵基礎設施軌分開表述；本文聚焦 OSS Scanner。

Anthropic 亦指出：未加入快車道者仍可走人工 CVD；另有 Cyber Verification Program、Claude for Open Source（免費 Claude Max 訂閱）等配套。報告強調攻擊端利用漏洞的成本下降，而驗證、披露與修補仍偏慢——Glasswing 經驗中，發現到修復常見以月計。

主要來源：