OSS Scanner by Anthropic

OSS Scanner 是 Anthropic 面向开源项目的免费、可选加入的漏洞查找服务。它借鉴了 Google 的 OSS-Fuzz，但使用 Anthropic 最强的模型（包括 Claude Mythos）而非模糊测试工具。

问题：开源项目支撑着大量基础设施，在其中发现安全漏洞需要投入时间和专业能力，而许多维护者并不具备这些条件。

解决方案：维护者选择加入后，扫描器会定期审计其代码并回传报告。每份报告都包含一个可独立运行的复现脚本以及对漏洞的说明，并尽可能通过二分定位追溯到引入该漏洞的提交节点。在可行的情况下，报告还会提供候选补丁。

不同之处：它采用了 Anthropic 在 Project Glasswing 中用于发现漏洞的相同方法，且对符合条件的项目完全免费。它还是一条可选的快速通道。对于缺乏分诊资源的项目，Anthropic 仍将继续运行其经人工核验的协同披露流程。

效果如何？这些数据来自 Anthropic 自己的文章，并非独立验证。在一次早期验证中，专家渗透测试人员对 48 个项目中的 97 个严重和高危漏洞进行了核查，其中 85 个（88%）达到披露标准。其余 12 个中，有 11 个为真实漏洞但与已知问题重复，还有 1 个为误报。wolfSSL 的 Todd Ouska 写道，他们收到的 74 份报告中，除两份外均属有效，其中 5 份被收录为 CVE。

主要特性：

• 对符合条件的开源项目免费

• 可选加入：通过向 anthropics/oss-scanner 提交包含 project.yaml 和 Dockerfile 的 pull request 进行注册

• 周期性扫描，报告通过电子邮件发送给维护者

• 报告包含复现脚本、漏洞说明以及可行的候选补丁

• 可随时暂停或移除项目

• 扫描在禁用了网络访问的沙盒环境中运行

报告在交付前未经人工审核，因此部分报告可能存在错误。Anthropic 表示，严重性评级可能被夸大，扫描器也可能误判项目的威胁模型。

适用对象：对基础设施和用户安全具有关键影响的开源项目的核心维护者。资格标准与 OSS-Fuzz 类似，并按具体情况逐案评估。