觀點 · 資訊分享

Anthropic 推出免費 OSS Scanner：用最強模型幫開源專案找漏洞，抽查 97 個高風險結果 88% 成立

Anthropic 開放開源專案免費申請 OSS Scanner，定期用最強的 Claude 模型掃描漏洞，報告附重現步驟與修補建議。代價是報告完全由 AI 產生、沒有人工審核，維護者要自己判斷真假。

一句話看懂：Anthropic 開放重要的開源專案免費申請 OSS Scanner，用最強的 Claude 模型定期找漏洞；速度快很多，但報告全由 AI 產生，維護者得自己把關。

Anthropic 推出 OSS Scanner資訊圖卡：開源專案申請後，AI 會定期掃描並附上修補建議，但報告沒有經過人工審核

先用白話講：為什麼開源專案需要這個？

我們每天用的網站、手機 App、伺服器，背後都有大量免費的開源軟體，例如 OpenSSL、curl、PostgreSQL。這些專案常常只靠少數志工維護，就像整條街的水管都由幾位義工在修，水管哪裡有裂縫，往往沒人有空仔細檢查。

現在 AI 找漏洞的能力變得很強，等於多了一台會自己巡邏的檢測機器人。問題是它找到的「疑似裂縫」太多，人工確認的速度根本追不上。

Anthropic 在 10 月 8 日推出 OSS Scanner，一個「自願加入」的開源漏洞掃描服務：

人力成了瓶頸。而官方也提到，現在漏洞被公開後，攻擊程式可能幾分鐘就寫得出來，修得越快越安全。

官方公布了早期驗證的結果：

也有維護者反映，嚴重程度有時被高估，或 AI 誤解了專案的威脅模型。

這件事對一般開發者的意義，其實不在「我要不要申請」，而在「我依賴的套件會變得更常發布安全更新」。我們做網站、做系統，裝的每個套件背後都是這些開源專案；它們修得越快，我們越要養成定期更新相依套件的習慣，否則上游修好了、自己沒更新，等於白搭。

另一個觀察是，AI 找漏洞的速度已經明顯超過人工審核。防守方能用，攻擊方當然也能用。對小團隊來說，最實際的做法是把「相依套件更新」排進固定流程，而不是等出事才處理。

OSS Scanner 要錢嗎？誰可以申請？

開源專案免費。資格參考 Google OSS-Fuzz 的標準，專案要對基礎設施或使用者安全有重大影響，由 Anthropic 個案決定。核心維護者向官方 GitHub 儲存庫送出 PR 申請。

AI 產生的漏洞報告可信嗎？

官方坦白說報告沒有人工審核，可能不正確。不過早期驗證中，資安專家抽查 97 個高風險結果，88% 符合正式通報標準；wolfSSL 收到的 74 份報告中，只有 2 份不成立，其中 5 個成為 CVE。

跟原本的漏洞通報有什麼不同？

原本的協調揭露流程會先經過人工驗證再通報，速度受限於人力。OSS Scanner 是給想要「一有發現就收到」的專案的快速通道，原本的人工流程仍然保留。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。