推出免费扫描服务 实行零人工审查直通模式
2026年10月8日，Anthropic宣布推出名为OSS Scanner的开源软件漏洞扫描服务，该服务是其“Anthropic Cyber Mission”安全倡议的组成部分，面向开源项目免费开放并采取“自愿加入”（opt-in）机制。该服务最显著的机制是实行“零人工审查”（Zero Human Triage），漏洞报告全部由Claude Mythos等前沿AI模型自动生成，并在未经过任何Anthropic员工审查或分类的情况下直接发送给开源项目维护者。
在运行架构与交付内容方面，OSS Scanner首先在具备网络访问权限的隔离虚拟机中构建项目，随后将其移至切断外网访问的受限沙盒中完成安全审计。发送给维护者的报告通常包含具体的漏洞复现步骤、对疑似安全漏洞的解释、定位引入时间的bisect信息，以及修复补丁建议。
开源项目的核心维护者若要申请加入，需向GitHub仓库anthropics/oss-scanner提交Pull Request，提供包含仓库地址及联系邮箱的project.yaml配置文件以及Dockerfile。Anthropic表示准入审批将参考Google OSS-Fuzz标准，优先接入面临远程攻击风险、被广泛依赖且对基础设施和用户安全至关重要的成熟项目。
技术前身与官方测试数据披露
据Anthropic官方说明，OSS Scanner建立在其内部研究项目Project Glasswing之上。官方披露数据显示，该研究在过去6个月内发现了超过29,000个候选漏洞，但受人工审核产能瓶颈限制，仅约6,000个漏洞完成人工验证。官方称，之所以建立零人工审查通道，是因为维护者希望获得未过滤的原始报告以加快修复进程，此前Anthropic已应要求向维护者直接发送了近5,000份未经验证的报告。
关于检测能力与准确性，Anthropic声称大语言模型在学术漏洞挖掘基准CyberGym上的发现率在一年内从不足20%提升至85%以上。在其官方公布的预发布验证中，专业人员对48个项目的97个重大和高风险漏洞进行了测试，结果显示其中85个（88%）符合协调漏洞披露（CVD）标准，11个为已知或重复问题，仅出现1例误报。
早期项目实测反馈与商业定位区分
早期参与测试的开源项目维护者对该服务给出了积极评价。wolfSSL开发者Todd Ouska表示收到的74份报告中有72份确认有效，其中5份已注册为CVE；OpenSSL的Anton Arapov认为AI生成的报告质量与人类报告相当甚至更优，特别是附带的可直接验证的利用代码极具价值；PostgreSQL的Noah Misch则指出该工具发现缺陷的比例异常高，部分补丁建议接近开箱即用。
媒体在报道中对Anthropic的产品线进行了区分，指出面向企业的代码审计和修复服务为付费商业产品Claude Security，而面向开源生态的OSS Scanner则是完全免费的基础服务。
维护者负担与披露流程引发行业关注
尽管自动化扫描加速了安全排查，但媒体与安全分析人士指出，零人工审查机制将过滤AI幻觉和甄别真实风险的成本转移给了通常缺乏精力和资源的开源志愿维护者。此外，媒体还注意到，这种早期未经验证的AI漏洞报告绕过了传统协调漏洞披露（CVD）流程中普遍适用的90天披露期限，而经过人工核实的传统披露报告仍受该规则约束。