Anthropic OSS Scanner 运行机制披露：无人工审核，修复决定权留给维护者

2026/10/23 17:10

前情提要：Anthropic 此前推出 OSS Scanner，为关键开源项目提供免费定期漏洞扫描，官方称首周检出 77 个 critical 与 803 个 high 级别发现，其中包括 curl 的修复。
最新披露：InfoQ 报道补充了服务形态——OSS Scanner 是免费、可选择加入（opt-in）的服务，报名参与的维护者会周期性收到由公司最强模型（含 Claude Mythos）生成的安全报告；报告发送前不经过人工审阅，维护者可自行验证发现，并决定接受哪些修复建议。
责任边界：这意味着从"发现问题"到"确认可利用"再到"提交补丁"的链路中，模型公司只承担扫描与建议环节，判定与处置仍归项目维护者。对人力本就紧张的开源项目，自动报告的价值取决于误报率与可复现性，而非发现数量。
行业观察：把安全审计作为对开源基础设施的免费服务，是模型厂商将代码理解能力产品化的一条路径；但与商业安全产品不同，它不附带人工复核与修复承诺，报告质量与维护者的响应成本需要靠实际使用数据检验。