2026年10月8日，Anthropic在同一天发布两项免费安全计划，统一归入”Anthropic Cyber Mission”框架。第一项为”关键基础设施防御计划”（Critical Infrastructure Defense Program，CIDP），向前沿Claude模型、驻场工程师及威胁研究资源开放给11家创始合作伙伴，包括埃森哲、博思艾伦、CrowdStrike、德勤、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、普华永道和罗克韦尔自动化。这些合作伙伴服务的对象覆盖电网、水务、交通网络及政府系统背后的运营技术（OT）环境。
第二项为OSS Scanner，免费、自愿接入，使用Anthropic最强模型（包括Claude Mythos）对开源项目进行定期安全扫描。两项计划同时推进，使Anthropic在开源生态中同时承担模型卖方、安全审计者、关键基础设施守门人以及漏洞严重性裁定参与者四重身份。
OSS Scanner的报告包含自包含复现程序、漏洞解释（含通过二分法定位引入该漏洞的具体提交）以及候选补丁。过去六个月，Anthropic的模型在重要开源项目中识别出超过29,000个候选漏洞，人工仅复核约6,000个。另有维护者要求接收全部报告，导致近5,000份未经核实的报告连同候选补丁直接发送。平均计算，六个月约180天内每天产生超过160份报告。
人工披露路径方面，截至2026年10月2日，经人工核实后披露6,157项漏洞，涉及591个项目，其中516项已修补。同期对外发布584份advisories。值得注意的是，快速通道的发现不设90天披露期，也不会公开。这意味着全球未修补弱点的最完整库存以私有化形式留存于Anthropic服务器，哪一批走人工披露、哪一批直发维护者、哪一批永不公开，均由该公司决定。
Anthropic公布的抽验数据显示，97个高危或严重漏洞中，85个（88％）达到其披露标准，11个为真实但重复，纯误报仅1个。准确率越高，这份私有漏洞地图的不可替代性越强。
首批接入OSS Scanner的项目包括PostgreSQL、OpenSSL、curl、wolfSSL等基础设施级开源软件。Anthropic的能力已获维护者证言验证，但审计独立性所依赖的结构条件——发现问题的一方与被问题牵动的一方相互分离——在这一安排中并不成立。安然事件后美国立法强制拆分审计与咨询业务，正是针对此类结构风险。OT系统的生命周期以十年计，设备不联网、补丁不敢打是常态，模型一旦嵌入电厂运维流程，其驻场周期将与设备等同。这一依赖关系的深度，远超消费级软件。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
