Anthropic 于10月8日启动名为 Anthropic Cyber Mission 的计划，并推出关键基础设施防御项目和免费开源漏洞扫描服务 OSS Scanner。据 SiliconANGLE 报道，前者将其前沿模型和驻场工程师带给保护电网、水系统等关键基础设施的安全公司，后者向符合条件的开源项目免费提供定期漏洞扫描。
关键基础设施防御计划面向运营商已经依赖的外部安全服务商，首批有11家创始合作伙伴。咨询公司包括埃森哲、博思艾伦、德勤和普华永道；安全厂商包括 Dragos、Insane Cyber、Nozomi Networks、CrowdStrike 和 Palo Alto Networks；日立和罗克韦尔自动化提供硬件制造与修补。计划针对工厂、变电站和水系统中的运营技术，这类设备设计寿命数十年，通常不能为打补丁而离线，已知漏洞可能多年存在。
Anthropic 说，多家合作伙伴已在用 Claude 修复漏洞，并帮助客户做同样的事，未来数月将有更多伙伴和行业加入。博思艾伦商业网络业务总裁 Andrew Turner 在随公告发布的评论中称，运营技术是“自主 AI 攻击的下一个前沿”，现在关键在于 AI 能在多大程度上、以多快速度控制工业流程。公告未披露商业条款。据 SiliconANGLE 援引 Axios 的报道，Anthropic 尚未说明合作伙伴是否获得免费模型访问，也未说明由谁承担计算成本；同一报道还质疑合作伙伴如何在不干扰公用事业运营的情况下测试和部署修复。
OSS Scanner 方面，The Verge 报道说，选择加入的开源项目将获得“由我们最强模型进行彻底、定期的安全扫描，且无需付费”。扫描输出完全由模型生成，没有人工审核或分类。Anthropic 称，这使扫描更快、更频繁，但报告可能不正确或无效。
据 SiliconANGLE 报道，OSS Scanner 源于 Anthropic 自身披露工作的积压。过去六个月，其模型在广泛使用的软件中发现超过2.9万个候选漏洞，员工人工审核约6000个。越来越多收到早期报告的维护者要求获得整批未审核报告，包括建议补丁；目前已有近5000份此类报告发出。新服务把这一安排变成面向其他合格项目的常设服务，设置灵感来自谷歌的 OSS-Fuzz。每份报告包含自包含的复现程序。OpenSSL 公司的早期测试者 Anton Arapov 说，附有真实利用代码的报告“对工程师来说基本就是工作已完成”。在模型能够处理时，报告还会附带候选补丁，并通过代码历史二分定位显示漏洞何时引入。
报告不经人工审核直接发给维护者，以加快速度。Anthropic 说，部分报告会因此包含错误，例如错误严重性评级。为衡量发生率，Anthropic 在向更多项目开放前测试了扫描器准确率。专家渗透测试人员检查了早期版本在48个项目中发现的97个关键和高严重性结果，批准85个披露；其余12个中，除一个外都是真实漏洞，但重复了已知问题或扫描的其他发现。嵌入式加密库开发商 wolfSSL 说，早期试验中收到的74份报告里除两份外均有效，其中五份成为 CVE。
核心维护者可通过向 Anthropic 的 GitHub 仓库提交拉取请求报名。资格沿用 OSS-Fuzz 对“对基础设施和用户安全有关键影响”的测试，并逐案决定。没有足够人员跟进原始发现的项目，仍可通过 Anthropic 现有披露流程获得人工验证报告。Anthropic 8月设立的 Defender Advantage Fund 为扫描器免费提供资金。该公司还向 Python 软件基金会、Apache 软件基金会，以及通过 Linux 基金会向 Alpha-Omega 和 OpenSSF 投入资金。
两项发布均借鉴 Project Glasswing 的经验。该项目从4月到本周为经过审查的组织提供 Claude Mythos 访问权限，随后被并入扩大的 Cyber Verification Program。Anthropic 说，发现漏洞从未如此容易，但验证、排序和修复仍然困难，Glasswing 尚未把网络风险降低到足够程度。Anthropic 预计，AI 将在两年内有利于防御者。