Anthropic 免費 AI 漏洞掃描器正式上線
Anthropic 喺 10 月 8 日後約 11 天正式推出 OSS Scanner，一個免費、自願加入的 AI 漏洞掃描器，目標係對基礎設施與使用者安全有關鍵影響的成熟開源專案。
呢個工具用 Anthropic 旗下最強模型，包括 Claude Mythos，對已註冊的代碼庫（codebase）進行定期掃描，費用全部由 Anthropic 承擔。
邊個項目可以加入
資格標準類似 OSS-Fuzz，主要考慮遠端攻擊風險、使用者與下游專案數量、專案年齡與更新頻率、OpenSSF 關鍵性分數、開源授權，以及所屬領域的資安重要性。全新專案同多數分支專案（fork）通常不符合資格。
想加入嘅專案，要由核心維護者喺 anthropics/oss-scanner 嘅 GitHub 儲存庫提交 pull request，新增專案設定檔，必填項目包括儲存庫位置、主要聯絡人同 Dockerfile。報名經過人工審查，確認申請者確實係維護者，且資安聯絡窗口同專案嘅 SECURITY.md 公開資料一致。
報告點收、限制喺邊
掃描喺完全斷開互聯網嘅沙箱（sandbox）環境執行，報告資料只限資安人員存取。掃描完成後，管線中嘅代理會再次確認漏洞、提出修補建議並分析根本原因，維護者再收到彙整後嘅漏洞報告電郵，之後定期重新掃描。
但限制寫得明：OSS Scanner 嘅報告未經人工驗證，可能包含誤報（false positive）。未經驗證的發現唔適用 90 天揭露期；若後續經協同漏洞揭露流程（coordinated disclosure）驗證，先會喺通知維護者 90 日後公佈。Anthropic 同時表示，呢個服務適合已能處理經驗證之高風險漏洞報告嘅專案，維護者亦須自行判斷每份報告嘅真偽與優先順序。
截至 10 月，Anthropic 依標準協同揭露流程已審閲超過 6,000 份報告——呢個數字係整體揭露計畫的累積，並非 OSS Scanner 單一服務的成果，目前亦無公開第三方驗證數據可評估掃描誤報比例。
對開源維護者嘅實際意思
對人手有限的開源專案，免費定期掃描確可補足人手審查缺口，但維護者仍須自行判斷每份報告嘅真偽同優先順序，官方亦保留日後調整報告格式與揭露規則嘅空間。
阿調搞兩下
大公司用自家最強模型幫你掃漏洞，免費，聽落好大方。但試問：模型掃完出幾百個「潛在漏洞」，邊個去逐個驗證？Anthropic 跳過人工審核，意思係佢哋唔為每個報告執手尾。開源社群維護者多數係義工，而家仲要接手處理一批未經確認嘅報告。快有快嘅好處，但「快」之後嘅工作量，唔好忽略。
