据MarkTechPost报道，Anthropic于2026年10月8日推出OSS Scanner，一个面向关键开源项目的免费、可选加入的漏洞扫描器。该工具调用包括Claude Mythos在内的最强模型审计代码库，扫描报告不经人工复核直接发送给项目维护者。报道称，这一做法加快了发现速度，但把漏洞分诊工作转移给项目团队。

截至10月19日，OSS Scanner从约650份申请中接受了114个项目。上线11天后，Anthropic报告了77个关键和803个高危“模型评级”发现。该项目由Anthropic的Frontier Red Team和Safeguards Research团队共同运行，设计借鉴谷歌OSS-Fuzz，但用语言模型替代模糊测试器。Anthropic称，过去6个月其模型提出超过2.9万个候选漏洞，人工审核了约6000个；另有近5000份报告直接发给要求接收全部结果的维护者，无论是否已验证。OSS Scanner将这种临时请求转为可选加入的项目，扫描在Anthropic的基础设施上免费运行。

核心维护者通过在anthropics/oss-scanner提交拉取请求报名，并在项目中加入project.yaml，填写仓库、主要联系人和Dockerfile路径，可选字段包括威胁模型、用于加密报告的PGP、自动抄送、主页和禁用开关。Dockerfile在联网环境下构建项目，随后虚拟机切换到无互联网环境执行审计。流水线中的代理会复核缺陷、做根因分析并提出补丁；每份报告包含可独立运行的复现程序和缺陷说明，尽可能定位引入问题的提交，并在可用时附上候选补丁。若提供可选的threat_model.md，可定义对抗输入、范围外代码和严重性评分标准；没有该文件时，扫描器自行推测。

Anthropic让渗透测试人员核查了48个项目中的97个关键和高危发现：85个（88%）达到其协调漏洞披露流程的标准，11个属真实问题但重复已知问题或其他扫描结果，1个无效。维护者的反馈类似：wolfSSL收到74份报告，除2份外均有效，其中5份成为CVE。curl修复了CVE-2026-92392，这是一个高危的HTTP/2上传释放后使用漏洞，影响curl 8.12.0至8.22.0，并在2026年10月14日发布的8.23.0中修复。报道也指出，OSS Scanner在交付前没有人工审核，维护者报告严重性被夸大。

Anthropic将这一进展与基准测试表现联系起来：在CyberGym上，模型发现漏洞的比例从不足20%升至85%以上。其更广泛的CVD看板截至10月2日列出591个项目中的6157个已披露漏洞，其中516个已修补。