Anthropic 为开源项目推出免费安全扫描服务

Anthropic launches free AI security scans for open-source projects — theverge.com · 1 小时前 · 🔒 安全

开源软件是现代数字基础设施的地基，但维护者往往没有预算做系统的安全审计，Anthropic 试图用自动化能力填补这块空白，推出了名为 OSS Scanner 的服务。该服务采取自愿报名的方式，加入的开源项目可以免费获得由 Anthropic 最强模型执行的、周期性的安全扫描，官方描述为彻底且持续的漏洞排查。与商业安全厂商通常搭配人工验证的流程不同，OSS Scanner 的报告完全由模型产出，不经过任何人工复核或分级筛选。Anthropic 在说明中明确承认这一取舍：省去人工环节能让扫描跑得更快、更频繁，但也意味着报告有可能出现错误或不成立的结果。The Verge 的报道把焦点放在这个交换条件上——项目维护者或许能更早收到潜在安全问题的提醒，但告警是否可信需要自己判断。这一动作出现在开源供应链安全事件频发的背景下：从 Log4Shell 到 XZ Utils 后门，问题常常在代码被广泛部署多年后才暴露，而维护者通常是无偿投入的个人或小团队。从目前公开的报道看，扫描覆盖的漏洞类型、调用频率上限、报告格式以及准确率数据等细节尚未一并说明。文章传递的核心结论是：免费而高频的自动扫描确实压低了开源安全审计的门槛，可当人工研判被完全省略，甄别成本就被转移给了本就人手紧张的维护者。

核心信息

OSS Scanner 面向开源项目开放，采用自愿报名的方式，参与项目无需付费即可获得由 Anthropic 最强模型执行的周期性安全扫描，官方将其描述为彻底且持续的漏洞排查；这意味着扫描能力被直接打包成免费服务，而不是按席位或按扫描次数计费的商业产品，参与门槛被压到接近零，任何规模的项目理论上都能申请。
该服务最值得注意的设计是输出完全由模型生成，既不附带人工复核，也不做人工分级筛选；Anthropic 自己指出，去掉人工环节让扫描可以更快、更频繁地运行，但代价是报告可能不准确或不成立，维护者需要自行判断哪些告警值得跟进，换句话说，工具给出的是候选线索而非经过确认的漏洞结论。
报道呈现的核心取舍是速度与可信度之间的交换：项目方可能更早收到潜在安全问题的提醒，缩短从代码提交到风险暴露之间的窗口，但误报与无效报告会直接转化为维护者的额外工作量；对于本就缺乏安全人力的开源团队，未经筛选的告警清单有可能从帮助变成新的负担。
开源生态长期存在安全审计资源不足的结构性问题，重大缺陷往往在代码被大规模部署之后才被发现，而承担维护责任的常是缺乏经费与时间的个人或小团队；大型厂商以免费工具的形式介入这一缺口，既可能实质缓解审计不足，也会改变既有静态分析与依赖扫描工具的市场格局。

💡 为什么值得读: 它是观察「检测免费之后，开源安全的成本究竟转移到哪里」的一个具体样本，也提前暴露了自动化安全工具的准确性与信任边界问题。

✍️ 小编看法: 免费这两个字在开源安全领域分量很重，但真正稀缺的从来不是扫描次数，而是维护者的注意力。Anthropic 把自家最强的扫描能力直接接到开源代码库上，看上去是把发现漏洞的成本压到零，实际上只是把成本挪了个位置：从「谁来扫」变成「谁来读」。一份没有人工分级的报告，对资源充足的安全团队是线索，对只有一两个兼职维护者的项目却可能是噪音，而告警疲劳的后果并不温和——真正严重的漏洞会淹没在误报里。更值得观察的是这背后的动机与闭环：免费扫描既是公益姿态，也是这套系统在真实、复杂、长尾代码上的一次大规模能力验证，扫描结果会反过来成为其迭代的反馈；同时扫描需要项目授权访问代码，托管方式、数据留存与隐私边界应当被问清楚。下一步的关键指标不是扫了多少仓库，而是误报率、有效漏洞占比，以及是否有人真的把告警修掉。如果 OSS Scanner 只停在「发现问题」，它的价值会被现有静态分析工具与依赖扫描服务稀释；真正有想象力的方向是把告警接上补丁建议与自动化修复请求，形成从发现到合入的闭环，那时它才会改变开源安全的成本结构。对读者而言，无论是否维护开源项目，都该意识到：当检测变得廉价，稀缺资源会向修复与验证迁移，未来安全竞争比的是谁能让正确的补丁更快落地。

🏷️ Anthropic, OSS Scanner, security, open-source