#人工智能 A 社推出免费的开源项目扫描器 OSS Scanner，帮助符合条件的开源项目免费 / 定期扫描安全漏洞。项目核心维护者需要向 A 社提交申请，项目需对基础设施或用户安全具有重要影响。获批后 A 社将使用 Mythos 等先进模型对项目扫描，随后向维护者发送漏洞报告以及潜在的漏洞修复方案等。查看全文：https://ourl.co/127172
A 社日前宣布面向开源项目推出 OSS Scanner 计划，为符合条件的开源项目提供免费的、定期漏洞扫描支持。这项计划将使用 A 社先进模型例如 Claude Mythos 等帮助开源项目扫描漏洞，当发现漏洞时 A 社会将漏洞报告和可用的候选修复方案发送给开发者。
该服务采取自愿的方式，项目核心维护者需要通过 A 社的 GitHub 仓库提交申请，项目需要对基础设施或用户安全具有重要影响，提交申请后 A 社工程师会评估项目是否符合要求，如符合要求会通知开发者进行后续准备工作。
项目获准后 A 社会按计划使用先进模型对开源项目的代码进行扫描和审计，无论是否发现漏洞 A 社都会向开发者发送扫描报告。如果发现问题，则扫描报告中会包含详细的漏洞说明、复现材料以及在可用时提供候选修复方案。
与 A 社现有的协调漏洞披露流程不同，OSS Scanner 计划的报告都是人工智能模型直接生成的，即从扫描到制作分析报告和提供漏洞修复方案，整个过程都不会经过任何人工审核和确认。
A 社称这种方式可以更快和更频繁地向维护者提供漏洞情况，但模型生成的报告仍然可能包含错误，严重性评级也可能偏高，或者未能准确理解项目的威胁模型等等，所以最终还需要项目开发者自行评估漏洞。
在早期测试中，A 社邀请渗透领域的安全研究员评估来自 48 个项目的 97 项高危及严重漏洞报告，其中 85 项 (占比 88%) 达到协调漏洞披露流程的标准。
其余 12 项中有 11 项是真实问题，但与已知漏洞或扫描中发现的其他问题重复。另有 1 项漏洞发现被判定为无效，上述结果来自 A 社公布的测试样本，不意味着后续所有报告都与测试报告有同等验证效果。
另外未经人工确认的报告不会被公开，也不适用于强制的 90 天披露期限。对于重大项目的安全问题，若漏洞经过 A 社人工审核，那 A 社会按照现有流程进行披露。
消息源：Anthropic