Anthropic推出OSS Scanner，为关键开源项目免费扫描漏洞

Anthropic的Frontier Red Team推出了面向开源项目的免费漏洞扫描服务OSS Scanner。根据Anthropic的公告，该服务使用公司最强的模型（包括Claude Mythos）定期扫描已加入的项目，并将发现直接发送给项目维护者。该服务于10月8日上线，Anthropic的开发者账号@ClaudeDevs于10月20日再次推介了这项服务。

OSS Scanner是什么

OSS Scanner是一款自愿加入的扫描工具，灵感来自Google持续为开源项目寻找漏洞的OSS-Fuzz。项目加入后，Anthropic会先进行扫描，之后定期重复扫描，以发现新漏洞和此前遗漏的漏洞。根据该服务页面，扫描频率取决于排队项目的数量、项目的使用广泛程度及其他因素。扫描在完全断网的隔离沙箱中进行。

每次扫描后，维护者会通过电子邮件收到一组报告。公告称，每份报告都包含可独立复现漏洞的示例、说明、在可能时指出引入漏洞的代码变更的分析，以及在可行时提供的补丁建议。Anthropic明确表示，这些报告完全由模型生成，未经人工审核即发送，因此部分可能有误或无效。

为何推出

Anthropic表示，其模型在过去六个月中发现了超过2.9万个候选漏洞，但公司只能人工审核和筛选其中约6000个。在维护者提出希望批量接收未经验证的报告后，公司为希望第一时间收到报告的项目开设了这条快速通道。经人工验证的报告仍将通过Anthropic现有的协调漏洞披露流程发送，尤其是面向没有能力自行筛选报告的项目。

公告还公布了一项试点的结果：在48个项目中核查的97个严重和高危发现中，85个达到了Anthropic的披露标准，其余之中有11个是真实但已为人所知的漏洞，只有1个是误报。页面上还附有PostgreSQL、OpenSSL、curl和wolfSSL等项目维护者的评价。

谁可以加入，如何加入

该服务面向对基础设施和用户安全至关重要的成熟项目，标准与OSS-Fuzz类似，每个项目单独评估。考量因素包括项目年限、更新频率、依赖它的用户和项目数量、OpenSSF关键性评分以及许可证。全新项目和大多数分支（fork）通常不符合条件。Anthropic表示，该服务面向能够跟上高危和严重级别报告处理节奏的项目。

加入方式是向Anthropic在GitHub上的oss-scanner仓库提交拉取请求，添加一个包含项目仓库地址、主要联系人和用于搭建构建环境的Dockerfile的文件。每个申请都由人工审核，确认申请人是核心维护者，且安全联系人已写在项目的SECURITY.md中。该服务免费。

披露规则

Anthropic表示不会对这些未经验证的发现设置90天的协调披露期。如果某项发现之后经人工验证，可在维护者收到验证通知90天后公开。服务条款规定，报告只能用于发现和修复漏洞，只能与授权维护者共享，并须在修复前保密。

以上信息来自Anthropic的公告和服务页面，试点结果为该公司自己的评估。根据服务条款，报告可能不完整或有误，建议的补丁可能破坏功能，审查报告的责任由维护者承担。随着AI发现的漏洞数量迅速增长，真正的问题在于志愿维护者是否有时间筛选并修复这些报告。建议同时关注独立安全研究人员和开源维护者的评估，从不同角度了解情况。