AI公司Anthropic近日推出OSS Scanner，这是一项免费、可选择加入的服务，旨在帮助开源项目发现安全漏洞。参与该服务的维护者将定期收到由公司最强模型生成的安全报告，报告发送前不经过人工审核，项目维护者可自行验证发现的问题并决定接受哪些修复建议。
该服务的推出正值开源软件供应链安全问题持续受到关注之际。开源组件被广泛应用于企业软件和云基础设施中，一旦关键项目出现漏洞，影响往往波及大量下游用户。传统上，开源项目的安全审计依赖维护者个人投入或外部安全团队支持，资源有限的项目难以获得持续、系统的漏洞扫描能力。OSS Scanner试图以AI模型自动生成报告的方式降低这一门槛。
根据Anthropic披露的信息，OSS Scanner采用选择加入机制，开源项目维护者需主动注册才能接收扫描报告。报告由该公司当前最强的模型生成，其中提及Claude Mythos。值得注意的是，报告在发送给维护者之前不经过人工审核，这意味着AI生成的漏洞分析将直接呈现给项目方。Anthropic将验证与修复的决策权交给维护者，由后者判断报告中的发现是否成立，并自行选择采纳哪些修复方案。
这一设计在提升效率的同时也带来责任界定的问题。AI生成的漏洞报告可能存在误报，若维护者依据不准确的报告投入时间排查，反而增加负担。Anthropic通过“不经过人工审核”和“维护者自行验证”的流程安排，将最终判断责任转移至项目方，公司本身不对手动审核报告内容作出承诺。对于资源紧张的开源项目而言，这种模式能否真正减轻安全维护压力，仍取决于报告准确率和误报控制水平。
从行业角度看，AI厂商正逐步将模型能力延伸至软件安全领域。此前已有企业推出基于大模型的代码审计和漏洞检测工具，但多面向付费企业客户。Anthropic以免费、可选加入的方式切入开源生态，一方面有助于积累真实场景下的漏洞数据与模型反馈，另一方面也可在开发者社区中建立安全能力认知。对于开源维护者而言，多一个免费扫描渠道具有实际价值，但将其纳入日常安全流程前，仍需评估报告质量与自身项目规模是否匹配。
OSS Scanner目前处于可选加入阶段，Anthropic未披露覆盖的项目数量或后续商业化安排。该服务的实际效果，将取决于参与项目收到的报告质量以及维护者的采纳情况。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
