Anthropic 推出开源漏洞扫描服务 OSS
来自 Anthropic Research · 期号 2026-10-08
摘要
Anthropic 推出 OSS Scanner，一项面向开源项目的可选漏洞扫描服务。 LLM 在漏洞发现上的能力快速提升：去年初在 CyberGym 上只能找到不到 20% 的漏洞，今年已超过 85%。过去六个月，Anthropic 用最新模型扫描了全球最重要的软件项目，发现超过 29,000 个候选漏洞，但人力只能验证其中约 6,000 个。 OSS Scanner 用最强模型（包括 Claude Mythos）进行全自动扫描，报告不含人工审核。早期验证显示，97 个高危/严重漏洞中有 85 个（88%）达到 Anthropic 协调披露流程的标准。报告附带可复现的 PoC、漏洞说明（含引入时间 bisection）和候选补丁。 核心维护者可通过提交 PR 到指定 GitHub 仓库加入，项目入选标准参考 OSS-Fuzz。
深读
导读 Anthropic 推出 OSS Scanner，一项面向开源项目的可选漏洞扫描服务。该项目利用其最强模型（包括 Claude Mythos）进行全自动安全审计，报告不含人工审核，旨在帮助核心开源项目以更快的速度发现和修复安全漏洞。对于关注开源软件供应链安全或 LLM 应用能力的从业者，这篇文章提供了最新的能力基准和实际落地案例。 关键信息 - 在漏洞发现基准 CyberGym 上，LLM 的漏洞发现率从去年初的不到 20% 提升至今年超过 85%。 - 过去六个月，Anthropic 用最新模型扫描全球重要软件项目，发现超过 29,000 个候选漏洞，但人力仅能验证其中约 6,000 个。 - 早期验证中，OSS Scanner 发现的 97 个高危/严重漏洞里有 85 个（88%）达到 Anthropic 协调披露流程的标准；剩余 12 个中 11 个为真实但重复的问题，仅 1 个为误报。 - 报告包含可复现的 PoC、漏洞说明（含引入时间 bisection）和候选补丁。 - 项目入选标准参考 OSS-Fuzz：项目需对基础设施和用户安全有“关键影响”，按个案决定。 逐节讲解 背景：LLM 漏洞发现能力的快速提升 文章开篇指出，LLM 在漏洞发现上的能力在过去一年多里经历了质的飞跃。以学术基准 CyberGym 为例，LLM 的漏洞发现率从去年初的不到 20% 增长到今年超过 85%。这一进步的直接结果是，开源维护者收到的 LLM 生成的报告从“垃圾”变成了高质量漏洞报告。Anthropic 在过去六个月用最新模型扫描了全球最重要的软件项目，发现了超过 29,000 个候选漏洞，但受限于人力，仅能验证其中约 6,000 个。由于漏洞利用现在可以在几分钟内完成，项目越快发现和修复漏洞，就越能抵御攻击者。 OSS Scanner 的设计与输出 受 Google OSS-Fuzz 的启发，Anthropic 推出了 OSS Scanner。与面向企业防御的 Claude Security 不同，OSS Scanner 面向开源项目免费提供安全审计。扫描由最强模型（包括 Claude Mythos）全自动完成，报告不含人工审核或分类。这意味着扫描更快、更频繁，但也存在报告不正确或无效的可能。在早期测试中，Anthropic 与数十个开源项目合作，报告包含数百个漏洞报告，其中包含可链式利用为未认证远程代码执行的漏洞。每份报告包含可复现的 PoC、漏洞说明（含引入时间 bisection）和候选补丁。 早期验证与维护者反馈 文章引用了多位核心维护者的反馈。PostgreSQL 的 Noah Misch 表示报告质量高，部分修复几乎可以直接使用；OpenSSL 的 Anton Arapov 指出，与 18 个月前“糟糕”的 AI 报告相比，Anthropic…