Anthropic 推出 OSS Scanner，為符合條件的開源專案提供免費定期漏洞掃描

Anthropic 推出 OSS Scanner，讓符合條件的開源軟體專案免費取得定期資安漏洞掃描。依 OSS Scanner 官方說明頁，這項服務採自願加入，Anthropic 以旗下最強模型定期掃描專案，費用由 Anthropic 負擔。Anthropic 在 ClaudeDevs 的 X 貼文表示，每項發現都附上概念驗證，可行時也附上修補程式。 資格標準類似 OSS-Fuzz，對象是對基礎設施與使用者安全具關鍵影響的成熟專案。Anthropic 會參考遠端攻擊風險、使用者與下游專案數量、專案年齡與更新頻率、OpenSSF 關鍵性分數、開源授權、星數與分支數，以及所屬領域的資安重要性。全新專案與多數分支專案通常不符合資格。 加入方式是由核心維護者在 anthropics/oss-scanner 的 GitHub 儲存庫提交 pull request，新增專案設定檔，必填儲存庫位置、主要聯絡人與可建置專案的 Dockerfile。報名由人工審查，確認申請者的維護者身分，以及資安聯絡窗口與專案的 SECURITY.md 一致。 掃描後，管線中的代理會再次確認漏洞、提出修補建議並分析根本原因，維護者收到彙整後的漏洞報告郵件，之後專案會定期重新掃描。Anthropic 表示掃描在停用網際網路的沙箱中執行，報告資料存放在僅限資安人員存取的雲端專案。 官方也明確列出限制：OSS Scanner 報告未經人工驗證，可能包含誤報；未驗證的發現不適用90天揭露期，若之後經協同漏洞揭露流程驗證，才可能在通知維護者後90天揭露。Anthropic 指出，這項服務適合已能處理經驗證之高風險與嚴重漏洞報告的專案，專案可隨時暫停或退出，回到一般漏洞通報流程。 說明頁另提到，截至10月，Anthropic 依標準協同揭露流程已審閱超過6,000份報告；但這是整體揭露計畫的數字，並非 OSS Scanner 單一服務的成果，目前也沒有公開的第三方驗證數據可評估掃描的誤報比例。