Anthropic 发布 OSS Scanner:免费帮开源项目扫漏洞

10 月 8 日 Anthropic 上线 OSS Scanner,一套专为开源软件做的 AI 安全扫描服务,值得关注。
是什么
不靠规则引擎和旧 CVE 库,而是用新一代推理模型逐行推演代码,从语义层找逻辑缺陷、竞态窗口、权限绕过、供应链投毒,甚至能识别「看着安全但在悄悄泄露凭证」的高阶问题。
谁能用
关键性准入制,面向支撑互联网命脉的项目(如 FFmpeg、Rust 编译器、PostgreSQL、DPDK),被列入 CISA 关键软件清单或 Linux 基金会基础层可信组件的优先。
怎么申请
维护者按官方模板向 OSS Scanner 的 GitHub 仓库提一个 PR,无问卷、无商业门槛。
实测数据

已扫描 37 个关键开源项目,识别 29,142 个候选漏洞线索
对其中 6,000 个启动完整 CVD 流程
48 个真实项目中标记 97 个严重/高危漏洞,第三方盲审确认 85 个(88%)符合 CVE 标准,误报仅 1 例

漏洞归项目方、报告归项目方,Anthropic 只负责扫描。对维护者等于免费多了一个 7×24 的安全巡检。