OSS Scanner

OSS Scanner：Anthropic 免费的开源漏洞扫描服务

2026 年 10 月 8 日，Anthropic 在启动 Anthropic Cyber Mission 时发布 OSS Scanner——一项面向开源生态的自愿加入式漏洞扫描服务。加入的开源项目可免费获得 Anthropic 最强模型（含 Claude Mythos）的周期性安全扫描，思路借鉴 Google 的 OSS-Fuzz，区别在于它用大模型审计代码而不是模糊测试。

核心功能

• 自愿加入即可获得免费、周期性的深度安全扫描，无需付费
• 报告完全由模型生成、不经过人工复核，因此扫描更快、频次更高
• 每份报告自成一体：包含可复现的复现步骤、漏洞说明（尽可能给出引入该 bug 的二分定位）与候选修复补丁
• 快速通道：维护者可以要求把尚未人工验证的全部报告一次性打包提交，先于正式版本拿到最新问题
• 与既有的协同漏洞披露（CVD）流程并行，人工验证报告仍按原流程处理，适合无力自行分诊的项目
• 与面向企业的 Claude Code Security 分工明确：OSS Scanner 对开源项目零成本开放

性能与验证

过去六个月 Anthropic 用最新模型扫描了全球一批重要软件项目，发现超过 29000 个候选漏洞，但仅能人工复核约 6000 个；应维护者主动要求，已有近 5000 份未复核报告直接发出。验证阶段，专家渗透测试人员在 48 个项目上抽检 97 个高危与严重样本，85 个（88%）达到 CVD 流程标准，11 个为重复问题，仅 1 个属于误报。

维护者反馈

PostgreSQL 的 Noah Misch 表示不少报告几乎可直接采用；OpenSSL 的 Anton Arapov 称附带真实利用代码的报告相当于工程师已验证完成；wolfSSL 的 Todd Ouska 反馈 74 份报告中仅 2 份无效、5 份形成 CVE；HotCRP 作者 Eddie Kohler 称报告对复杂权限模型理解到位、优先级判断合理。

应用场景

• 开源项目的定期安全审计与漏洞修复加速
• 依赖开源组件的供应链风险排查
• 安全研究与协同披露协作
• 资源有限的小型开源项目获得企业级审计能力

适用人群

开源项目维护者、安全工程与研究团队、依赖开源软件的企业安全负责人。

出品方

Anthropic，2026 年 10 月 8 日发布，属于 Anthropic Cyber Mission 的开源软件方向；同一计划还包含面向关键基础设施的 Critical Infrastructure Defense Program。

更新动态

项目可自行注册加入，模型输出的报告将随维护者反馈与模型迭代持续打磨；Claude Mythos 在六个月内已产出 29000 余个候选漏洞、6000 余个经人工复核，验证与披露能力仍在扩充。

官网链接

https://red.anthropic.com/oss-scanner