Anthropic推出OSS Scanner：免费为关键开源项目做AI安全扫描

AI公司Anthropic近日宣布推出一项名为OSS Scanner（开源扫描器）的全新服务，面向开源项目维护者提供免费的、可自愿加入的安全漏洞扫描能力。加入该项目的维护者将定期收到由公司最强模型生成的安全报告，其中包括代号Claude Mythos的模型。这一举措被视为AI厂商反哺开源生态、应对开源供应链安全风险的重要尝试，也引发了关于AI自动生成安全报告可靠性的讨论。

服务模式：免费、自愿、定期报告

据InfoQ记者Matt Saunders报道，OSS Scanner是一项完全免费的服务，采用自愿加入（opt-in）模式。开源项目维护者需要主动报名注册，Anthropic才会对其项目进行扫描。这种设计尊重了社区自治传统，避免了对未授权项目进行未经同意的安全审查。

服务启动后，已注册的维护者会周期性地收到安全报告。这些报告由Anthropic公司当前最强大的模型生成，报告名单中明确提到了Claude Mythos。报告内容聚焦于项目中潜在的漏洞与安全隐患，为维护者提供持续的、自动化的安全监测能力。

无人工审核：AI直接输出，维护者把关

OSS Scanner最引人关注的特点之一，是其报告流程中没有人工审核环节。也就是说，AI模型生成的安全报告会直接发送给项目维护者，中间不经过Anthropic工程师的介入或二次校验。

这一设计大幅提升了服务的可扩展性——Anthropic无需投入大量安全专家即可覆盖海量开源项目——但同时也把验证责任完全交给了维护者。维护者需要自行判断报告中的发现是否属实，并决定是否采纳报告中提出的修复建议。换言之，AI负责发现问题，人来负责把关。

项目维护者可以选择验证其发现，并决定接受哪些提议的修复方案。

这种"AI产出、人类决策"的分工模式，与当前业界对AI辅助安全工作的一般共识相符：模型可以高效扫描海量代码找出可疑点，但误报与漏洞分级仍需经验丰富的开发者确认。

为什么瞄准开源安全？

开源软件已成为全球数字基础设施的底座，从操作系统内核到应用依赖库，绝大多数现代软件都建立在开源组件之上。近年来多起重大安全事件——例如Log4Shell等广泛利用的开源库漏洞——暴露出开源项目普遍缺乏足够的安全审计资源：全球无数关键开源库仅由一两名志愿维护者在业余时间维护，安全审查往往力不从心。

Anthropic此时推出免费的OSS Scanner，正是瞄准了这一资源缺口。用最强模型承担重复性、规模化的代码审计工作，理论上能以极低的边际成本为大量缺乏资金支持的开源项目补上安全短板，缓解开源供应链的系统性风险。

机遇与争议并存

对于开源维护者而言，这项服务无疑提供了免费的额外安全防线，尤其是对那些无力雇佣安全团队的项目来说价值明显。定期自动送达的报告，也相当于为项目配备了常驻的AI安全审计员。

但也有观点指出，未经人工审核的AI安全报告可能带来新的负担：误报会消耗维护者的甄别时间，漏洞报告若处理不当甚至可能形成公开披露风险。如何设计负责任的披露流程、确保报告只送达授权维护者手中，将是服务长期运营的关键。此外，由商业AI公司主导开源安全扫描，也引发了关于依赖性与透明度的讨论。

展望：AI安全审计或成开源新标配

OSS Scanner的推出标志着AI能力正从"辅助开发者写代码"延伸到"守护开源生态安全"的更深一层。如果该服务在准确率与误报控制上经受住社区检验，AI驱动的定期安全扫描很可能成为开源项目的标配能力，并促使其他AI厂商跟进类似计划。对于维护者而言，参与与否的关键在于：如何把AI报告高效转化为经过验证、可落地的修复，让自动化真正转化为生态的安全提升。