Anthropic 推出 OSS Scanner，為開源軟件提供自願加入的漏洞掃描服務
Oct 8, 2026Frontier Red TeamLaunching an opt-in vulnerability-finding service for open-source software
Anthropic 推出 OSS Scanner，為選擇加入的合資格開源項目免費提供由最強模型（包括 Claude Mythos）執行的定期漏洞掃描，報告不經人工審核或分流。
早期驗證披露專家檢視 97 項發現的結果及無效報告數量，並説明服務不經人工審核的安排，呈現其品質依據與風險。
我們推出 OSS Scanner，這是一款供用戶選擇參與的開源生態系漏洞掃描器，根據我們在 Project Glasswing 期間使用 Claude 尋找漏洞的經驗開發。參與項目將由我們最強大的模型免費進行全面、定期的安全掃描。
語言模型在發掘漏洞方面的能力迅速提升，正如我們在這個網誌上已作過大量報道。在CyberGym這個學術界漏洞發現基準測試中，LLM 在去年年初只能找出不足 20% 的漏洞，今年則已能找出超過 85%。因此，開源軟件維護者收到的內容，已由 LLM 提供的大多是低質內容，轉為高質素的錯誤報告。
過去六個月，我們使用最新模型掃描全球一些最重要的軟件項目，尋找漏洞。我們發現了超過 29,000 個候選漏洞，但只能手動審核和分類處理其中約 6,000 個。6,000 個漏洞數量不少，但驗證這些發現仍受限於我們的人手能力。
我們正努力擴大漏洞披露的規模。與此同時，越來越多維護者在收到我們的首批報告後，會直接要求我們批量提交所有未經核實、附有建議修補程式的報告：至今，維護者要求收到我們掌握的所有資料，即使報告未經驗證，我們也已直接向他們發送近 5,000 份報告。由於現時只需幾分鐘便可開發漏洞利用程式，能更快找出及修補漏洞的項目，就能更有效地保護其軟件，抵禦正競相尋找並利用相同弱點的攻擊者。
我們會繼續透過現有的協調漏洞披露（CVD）流程，手動披露經人工驗證的漏洞報告，尤其是缺乏資源自行分類處理報告的項目。不過，我們現在亦為希望盡早收到漏洞報告的用戶提供可選的快速通道，報告一旦準備就緒便會送出。
我們的漏洞掃描器
受到 Google 的 OSS-Fuzz 對開源生態系帶來的正面影響所啟發，這個項目利用模糊測試工具掃描開源軟件中的漏洞；我們推出 OSS Scanner，利用我們最強大的語言模型，在開源程式碼中尋找漏洞。Claude Security 是面向一般用戶的程式碼掃描及修補產品，專注協助企業保護其系統；OSS Scanner 則免費為開源項目提供安全審核。
這款自選參與的漏洞掃描器所產生的結果將完全由模型生成，不經人工審核或分類處理。這樣可以加快掃描速度並提高掃描頻率，但報告亦有可能不正確或無效。我們會使用最強大的模型（包括 Claude Mythos）生成這些報告，為開源項目帶來最大的防禦優勢。
過去數星期，我們一直與數十個開源項目合作，驗證這條流程。這批初步披露包括數百份錯誤報告，其中多個漏洞可被我們串連利用，形成無需驗證即可遠端執行程式碼的攻擊，影響相關項目。每份報告均包含可獨立重現問題的案例、漏洞説明（在可行情況下，會以二分搜尋法定位錯誤引入的時間），以及候選修補程式（如有），説明如何修正錯誤。我們現正向更多開源項目提供這項服務。
以下是我們測試 OSS Scanner 早期版本及檢視模型原始輸出時收到的部分意見：
- 「OSS Scanner 的發現中，有異常高比例揭示了 PostgreSQL 的缺陷。多份報告附有我們幾乎可以直接採用的修正方案，而快速通道讓我們能在最新問題隨 GA 版本發布前先行處理。」—Noah Misch，PostgreSQL
- 「大約 18 個月前、Project Glasswing 推出之前，早期 AI 報告糟糕透頂。Anthropic 提供的報告（包括模型原始輸出）與我們收到的人手報告一樣好，有時甚至更好。尤其是報告附有真正的漏洞利用程式時，工程師基本上已完成工作，因為可以即時驗證。」—Anton Arapov，OpenSSL Corporation
- 「我們認為這些報告的有效資訊比例很高：收到的 74 份報告中，除兩份外均屬有效，其中五份獲編列為 CVE。報告附有修補程式，讓我們可以直接把它們納入現有流程，驗證並修正問題。我們希望收到更多報告。」—Todd Ouska，wolfSSL
- 「錯誤報告詳盡清晰，充分理解 HotCRP 複雜的權限模型，也妥善排定了錯誤的優先次序。」—Eddie Kohler，HotCRP
為了驗證 OSS Scanner 的早期版本，我們請負責審核 CVD 調查結果的資深滲透測試人員，檢查掃描器在 48 個項目中發現的 97 個嚴重及高危漏洞。當中 85 個（88%）符合我們 CVD 流程的標準。在其餘 12 個之中，11 個確實存在，但與已知問題或掃描器的其他發現重複；只有一個無效，即屬於「假陽性」。此後，我們已把許多發現交給維護者；他們很少告訴我們某項高危或嚴重級別的發現無效，這與我們過往的開源工作一致。有些維護者指出，嚴重程度評級可能偏高，或掃描器未能正確理解項目的威脅模型。我們無法保證掃描器毫無缺陷，但會根據維護者的意見持續改進系統，並隨模型進步而作出調整。
入門
符合資格項目的核心維護者可按照標準項目範本，向這個 GitHub 儲存庫提交 PR 以登記；更多指引請參閲擴展版常見問題。項目的資格準則與 OSS-Fuzz 採用的準則相近：簡單來説，項目應對「基礎設施及用戶安全有重大影響」，而我們會按個別情況作出決定。
無論 OSS Scanner 是否適合你，我們新推出的Cyber Verification Program都會向符合資格的安全專業人員提供先進的網絡安全能力，以及限制較少的阻擋分類器。Claude for OSS免費提供 Claude Max 20x 訂閲，協助修補漏洞及改善 OSS 項目。
相關內容
Claude 形塑的科學
特約作者 Matthew Schwartz 教授描述了他停止與 Claude 對抗，轉而讓 Claude 找出「Claude 型」問題的經歷：這些問題最適合由現今一代 LLM 工具的能力處理。這促使他建立 BootLoops，一套用於定量科學精確計算的工具集；他一直與專家合作，將其應用於不同科學領域。
機械人可以做哪些工作？
我們建立了一項指數，評估現今的機械人執行美國工作任務的能力。機械人已能完成四分之三的體力工作，但大多隻限於特定環境；在成本上具競爭力的工作則只有 0.3%。
你希望 AI 帶來甚麼？
我們正推出一項新研究，透過 Anthropic Interviewer 瞭解你使用 AI 的經驗。
來源：Anthropic：Research（發表成果 · 網頁） · anthropic.com