开源供应链安全有了新的免费武器。Anthropic 于 10 月中旬推出 OSS Scanner，一个面向关键开源项目的免费 AI 漏洞扫描服务。上线仅 11 天，首批 114 个入选项目就收到了 77 个 Critical（严重）和 803 个 High（高危）级别的模型评级发现。
OSS Scanner 是什么
OSS Scanner 是一个自愿报名、免费提供的安全审计计划：开源项目维护者提交申请，入选后 Anthropic 会用自家最强模型（包括 Claude Mythos）对代码仓库进行深度安全审计。首批约 650 个申请中录取了 114 个项目。
它和传统扫描器的区别
- 语义理解：传统 SAST 工具靠规则和模式匹配，误报率高；AI 审计能理解业务逻辑，发现"逻辑漏洞"
- 跨文件推理：能追踪数据在整个代码库中的流向，发现跨模块的组合漏洞
- 免费：对预算紧张的独立维护者来说，这相当于白嫖一次顶级安全团队的服务
数据说明什么
77 个 Critical 在 11 天内被找出，印证了一个判断：开源生态中被忽视的严重漏洞远比想象中多。这与此前研究者发现 AI 编程助手会"幻觉"出不存在的包名、攻击者借此投毒的现象互为镜像——AI 既制造了新的攻击面，也提供了新的防御手段。
怎么用
项目维护者通过 Anthropic 官方页面报名，入选后授权模型审计仓库即可。对于企业用户，日常开发中的安全审计可以借助 Claude 或 Claude Code 的能力自行搭建类似流程：让模型定期审查 diff、依赖变更和关键模块。
局限与前景
需要提醒的是，"模型评级"的发现仍需人工复核确认，误报不可能为零。但方向已经清晰：AI 审计正在成为开源安全的标准配置，类似微软 Agensh 这样的多智能体框架未来也可能被用于并行式安全审计。