10 月 9 日（週四），Anthropic 正式推出名為「OSS Scanner」嘅選用式（opt-in）免費漏洞掃描服務。呢個係 AI 公司用自家模型做資安防禦嘅一手——重點唔係佢掃乜，而係邊個可以掃、邊個揸住個掣。

做乜、冇乜

參與嘅開源專案會收到 Anthropic「最強大模型」嘅定期安全掃描，包括未公開嘅 Claude Mythos，全程免費。報告會喺程式碼掃完後即刻送到專案手上。

但有個關鍵限制：所有輸出由模型生成，無人工審核或分流。Anthropic 自己寫明「報告可能不正確或無效」，速度換準確度，是佢自選嘅交換。

相比以往 Project Glasswing 下嘅定期掃描，當時每一筆發現都要先經人工審核，「流程緩慢」，而新服務直接省咗呢步。Anthropic 同時有付費產品 Claude Security，做相近嘅程式碼審計，但 OSS Scanner 免收費用。

邊個已經申請

Nethermind（以太坊客户端）申請全程式庫審計；ZEUS（比特幣同 Lightning 自託管錢包）要求檢查影響付款、私鑷同 Lightning 服務嘅弱點；VirtEngine（Cosmos SDK 去中心化雲運算市場）亦入咗申請。

截至發布，所有 Pull Request 均未合併。Anthropic 會逐案評估基礎設施重要性、遠端攻擊暴露度及依賴使用者數量，先決定接受。

點解加密圈搶住入場

今年數起 AI 輔助攻擊事件令壓力上升：比特幣交換服務 Boltz 喺 8 月暫停營運，稱攻擊者開發 exploit 速度快於修補；PayPerQ 回報多次疑似 AI 驅動攻擊。

Anthropic 喺週四同步發布嘅安全任務宣告中警告：短期內 AI 傾向攻擊方——攻擊成本降低，而驗證同修復漏洞仍依賴人手，速度跟不上。

OSS Scanner 受 2016 年由 Google 及 OpenSSF 成立嘅 OSS-Fuzz 啟發，但兩者背景唔同：呢個係單一 AI 公司嘅申請審核制，並非開放標準。

阿調搞兩下

免費、自動、模型生成——聽落都幾好，但三個問題要問：第一，報告無人工審核，出錯咗邊個執？第二，服務由單一公司審批，拒絕申請嘅標準乜？第三，當攻擊者可以透過較低門檻取得類似能力，防禦方靠少數公司嘅「善意」補洞，長期不平衡點樣解決？

工具本身唔係答案，機制先係。

阿調｜深度調教