Anthropic 发布 OSS Scanner，由 Claude Mythos 生成未审核的开源漏洞报告

Anthropic 推出免费可选的 OSS Scanner 服务，利用其最强模型（包括 Claude Mythos）定期扫描已注册开源项目的代码库，直接发送未经人工审核的安全报告给项目维护者。该服务旨在解决人工验证瓶颈问题，在六个月测试期内识别了超过 29000 个潜在漏洞，但仅审查了约 6000 个。

报告包含独立的复现程序、疑似漏洞说明及候选补丁，部分情况下通过二分法定位缺陷变更。早期测试显示，抽样样本中 85 个高危发现符合协同披露标准，11 个为真实漏洞，1 个无效；curl 作者 Daniel Stenberg 确认了一个 HTTP/2 use-after-free 漏洞（CVE-2026-92392）。尽管部分维护者反馈存在严重等级虚高或威胁模型理解偏差的情况，wolfSSL 等团队仍评价原始报告质量较高且易于验证。

该项目是 Glasswing 计划的延续，核心维护者可通过提交 GitHub PR 完成注册，配置构建环境后在断网环境下运行扫描。与谷歌 DeepMind 的 CodeMender 保留人工审核环节不同，OSS Scanner 采用直接推送模式，但 Anthropic 仍提供针对无资源分类发现的人工审核服务。事实层面，服务已上线并提供自动化工具；推断层面，这将改变开源社区依赖单一人工审核渠道的现状；猜测层面，大规模应用可能引发关于 AI 误报率对维护者工作流影响的讨论。