Anthropic 推出 OSS Scanner：开源项目可以申请免费的漏洞扫描

Anthropic 在 2026 年 10 月 8 日推出 OSS Scanner：一项面向开源项目、自愿加入的漏洞扫描服务。加入的项目会定期收到由 Anthropic 最强的模型（包括 Claude Mythos）做的安全扫描，不收费。

如果你维护着一个被很多人依赖的开源项目，这件事值得看一眼。

它给你什么

每一份报告包含三样东西：

• 一个能独立运行的复现方法；
• 对漏洞的解释，条件允许时还会定位到问题是哪一次改动引入的；
• 一个候选补丁（有的话）。

要注意的是，报告完全由模型生成，不经过人工复核和分级。 文章自己也写了，这样扫得更快更勤，但报告有可能不对。

Anthropic 原来的做法是人工核实之后再按协调披露的流程通知维护者，这条路还在，尤其是给没有人手自己分拣报告的项目。OSS Scanner 是另开的一条快车道，给愿意第一时间拿到原始结果的项目。

报告靠不靠谱

文章给了一次验证的结果：请平时复核披露报告的渗透测试专家，检查扫描器在 48 个项目里报出的 97 个严重和高危漏洞。

结果	数量
达到协调披露的标准	85 个（88%）
是真问题，但和已知问题或同一次扫描的其他发现重复	11 个
无效（误报）	1 个

试用过的维护者里，wolfSSL 说收到的 74 份报告只有两份无效，其中 5 个成了 CVE；curl 的作者说它帮忙找到了多个值得修的问题，其中一个是近几年报给 curl 的最严重的漏洞之一。文章也提到有维护者反馈，严重程度有时评得偏高，或者扫描器没理解项目的威胁模型。

谁能申请，怎么申请

• 谁来申请：项目的核心维护者。
• 条件：参照 Google 的 OSS-Fuzz 的标准，项目要对基础设施和用户安全有关键影响，逐个决定。
• 怎么申请：按模板向 anthropics/oss-scanner 这个 GitHub 仓库提一个 PR。文章说另有一份更详细的常见问题。

它和另外几样东西的关系

• Claude Security 是面向企业的代码扫描和修补产品；OSS Scanner 是给开源项目的免费审计。在 Claude Code 里自己扫自己的代码，见《Claude Security 插件实测》。
• 网络安全验证计划给安全从业者放宽模型的拦截，开源项目的维护者在可以申请的范围里，见这条快讯。
• 文章末尾还提到 Claude for OSS，给开源项目提供免费的 Claude Max 20x 订阅，用来修漏洞和改进项目。

背景里的几个数字

文章说，过去六个月 Anthropic 用最新的模型扫描重要的开源项目，发现了超过 29,000 个候选漏洞，人工复核和分拣过的只有大约 6,000 个，卡在人手上。越来越多的维护者收到第一批报告后，直接要求把没核实的也一起发过来，到目前已经这样发出近 5,000 份。OSS Scanner 就是把这条路变成常规的做法。

本文没有核对到的

• 全文按 Anthropic 的这一篇文章整理，本站没有申请过，也没有看过实际的报告。
• 验证结果和维护者的评价都来自这篇文章。
• 申请模板和入选标准的细节，以仓库里的说明为准。