Anthropic于2026年10月8日正式推出OSS Scanner——一款面向关键开源项目的免费、可选加入式AI漏洞扫描工具。该服务由Anthropic前沿红队（Frontier Red Team）与安全防护研究团队（Safeguards Research）联合运营，核心目标是缓解当前AI驱动安全审计中的人力评审瓶颈。截至10月19日，已有114个项目从约650份申请中获准接入。
OSS Scanner运行于Anthropic自有基础设施，完全免费。项目维护者需通过向anthropic/oss-scanner仓库提交Pull Request完成注册，提供包含代码仓库地址、主要联系人及Dockerfile路径的project.yaml配置文件。审计在隔离虚拟机中执行：Dockerfile用于构建项目（允许网络访问），随后切换至无网环境运行LLM代理分析。每个报告均含可复现漏洞的最小示例、成因解释、引入问题的提交二分定位（bisection），以及可选候选补丁。
上线11天内（即截至10月19日），OSS Scanner共生成77个‘严重’（critical）与803个‘高危’（high）模型评级漏洞。Anthropic团队抽样复核了其中97个关键/高危发现，结果显示85个（88%）符合其协调漏洞披露（CVD）标准；11个为真实漏洞但属已知问题重复报告；仅1个被判定为误报。wolfSSL项目反馈其收到的74份报告中72份有效，其中5个已分配CVE编号；curl项目据此修复了CVE-2026-92392（HTTP/2上传use-after-free漏洞），影响版本8.12.0–8.22.0，修复版8.23.0已于10月14日发布。
该工具明确放弃人工审核环节以换取响应速度，所有报告直接送达维护者， triage（分类、验证、优先级排序）责任完全转移至项目方。Anthropic未对未经人工复核的报告设定披露截止期限（如OSS-Fuzz的90天规则），亦未提供严重性校准机制——若项目未提交自定义threat_model.md文件，模型将自行推断威胁场景与严重性分级，部分维护者反映存在严重性高估现象。对比Google OSS-Fuzz、OpenAI Codex Security及DeepMind CodeMender等同类项目，OSS Scanner是目前唯一完全由AI代理主导、零人工介入交付的开源安全扫描服务。