Anthropic 推出免费 AI 扫描器，为开源项目自动查漏洞

Anthropic 宣布启动一项名为 Cyber Mission（网络使命）的新计划，目标是保护关键基础设施和开源软件免受日益猖獗的网络攻击。该计划包含两大支柱：一是与 CrowdStrike、Palo Alto Networks 等网络安全行业领军企业合作，共同守护电网与供水系统；二是向所有开源项目免费开放一款 AI 驱动的漏洞扫描器，官方表示其检测准确率预计可达 90% 以上。这一举措意味着，原本需要付费商业工具或专业安全团队才能完成的代码安全审查，如今任何开源开发者都能零成本获得。

为什么瞄准开源软件与关键基础设施

开源软件早已成为全球数字世界的地基。从 Linux 内核到 OpenSSL、Log4j，几乎所有商业系统和政府系统都建立在不同程度的开源组件之上。然而开源项目的维护往往依靠少数志愿者，安全审计资源长期匮乏，一旦某个底层组件出现漏洞，其影响会沿着依赖链条层层传导。历史上的 Log4shell 漏洞、心脏出血（Heartbleed）事件都曾证明：一个不起眼的开源库被攻破，足以波及全球数以亿计的设备。

关键基础设施的处境同样脆弱。电网、水处理厂、交通调度系统等工业控制系统近年来频繁成为勒索软件和国家级黑客组织的攻击目标，美国殖民管道公司遭勒索攻击导致东海岸燃油管道瘫痪的事件，至今仍是行业警示案例。Anthropic 将这两类对象作为 Cyber Mission 的优先保护目标，显示出其安全战略从「保护自家模型」扩展到了「用 AI 能力保护整个数字生态」。

免费 AI 扫描器：90% 以上准确率的承诺

本次计划中最受开源社区关注的，是那款免费提供的 AI 漏洞扫描器。它能够自动扫描开源项目代码，识别潜在的安全漏洞，无需项目维护者付费或具备深厚安全背景。Anthropic 表示，该工具的检测准确率预计将超过 90%——这一数字在漏洞检测领域相当亮眼，因为传统静态分析工具通常以较高的误报率换取覆盖率，常常让开发者淹没在噪音之中。

借助大模型对代码语义的理解能力，AI 扫描器有望发现那些基于规则匹配的传统工具难以捕捉的逻辑缺陷和复杂漏洞模式。对资源紧张的开源维护者而言，这意味着他们可以在合并代码、发布版本之前获得一层此前难以负担的安全审查，从源头减少漏洞流入供应链的机会。

携手 CrowdStrike 与 Palo Alto Networks 守护电网水网

除开源扫描外，Cyber Mission 的另一条主线是关键基础设施防护。Anthropic 拉入了 CrowdStrike 和 Palo Alto Networks 两家全球顶尖网络安全公司作为合作伙伴。CrowdStrike 以云端端点检测和威胁情报见长，Palo Alto Networks 则在防火墙、网络安全平台领域深耕多年，二者都长期服务于能源、水务等行业客户。

这种组合的逻辑在于：Anthropic 提供前沿的 AI 模型能力，安全厂商提供行业 know-how、威胁数据和现场部署经验，双方协同为电力网络和供水系统构建更强的防御纵深。对 Anthropic 来说，这也是一次战略卡位——随着 AI 进入关键行业运营环节，安全厂商比以往任何时候都更需要强大的 AI 分析能力来对抗同样在拥抱 AI 的攻击者。

Anthropic 的安全棋局与行业影响

近年来，Anthropic 一直将「AI 安全」作为品牌核心，从其研究议程到负责任扩展政策均可见一斑。Cyber Mission 可以视为这一理念的延伸：不只是讨论 AI 的风险，而是主动把 AI 能力投向防御端，产出可落地的公共安全工具。在 OpenAI、Google 等竞争对手同样布局安全领域的背景下，此举有助于 Anthropic 在政府、能源和基础设施客户中建立信任。

对行业而言，免费、高准确率的 AI 扫描器可能改变开源安全的游戏规则。如果它被广泛采用，大量原本无人审计的项目将获得基础防护，软件供应链的整体韧性有望提升。当然，也需保持理性预期：90% 以上的准确率仍是「预期」而非实测承诺，AI 扫描器也无法替代专业渗透测试和人工代码审计。

展望未来，Cyber Mission 能否兑现承诺，取决于扫描器在真实开源项目中的实际表现，以及与安全厂商合作的落地深度。若其准确率经社区验证确实站得住脚，这款免费工具或将成为开源生态的标配安全基础设施；而关键基础设施领域的 AI 防御实践，也可能为整个网络安全行业树立新的协作范式。对于长期在安全资源上捉襟见肘的开源社区来说，这无疑是一个值得欢迎的开端。