Anthropic称其OSS Scanner在11天内发现880个高危漏洞，含curl严重缺陷
Anthropic披露其AI安全扫描服务OSS Scanner在启动11天内判定出77个紧急和803个重要漏洞，包括curl的一个严重内存释放后使用缺陷。该服务以速度换取人工验证环节，初期测试显示88%的判定符合披露标准，但存在高估严重度的倾向。
重要性实质性证据E2 未复现写法快讯
美国人工智能公司Anthropic于2026年10月20日披露，其面向开源软件（OSS）的安全扫描服务“OSS Scanner”在提供开始后的11天内，由Claude Mythos等模型自动判定出77个“紧急”级和803个“重要”级漏洞。这些数字为AI模型的初步判定结果，并非全部经过人工最终确认。
该服务的核心特点是绕过传统协调披露（CVD）中的人工验证环节，直接向项目维护者发送包含复现代码、原因分析及修补建议的报告。Anthropic承认，由于未经人工复核，报告中可能包含误报。据该公司内部早期测试数据，在48个项目中产生的97个高危判定里，渗透测试人员验证有85件（约88%）符合披露标准，仅1件为误报；但维护者也反馈模型倾向于高估漏洞严重度或误解项目的威胁模型。
一个显著成果是发现了通信库curl中的CVE-2026-92392漏洞。这是一个HTTP/2上传过程中的“释放后使用”（use-after-free）缺陷，可能导致远程代码执行。curl开发者Daniel Stenberg将其评价为近年来最严重的漏洞之一。尽管攻击条件苛刻且主要后果可能是崩溃，但该发现促使curl提前两周发布修复版本8.23.0。
Anthropic指出，随着利用漏洞的代码可在数分钟内生成，快速通知比等待完美验证更能抢占防御先机。目前，该公司已收到约650个项目申请，经审核接受了114个具有重大基础设施影响的项目。对于企业用户，Anthropic提供付费的Claude Security产品，而OSS Scanner作为免费服务，旨在解决开源社区人力无法覆盖海量候选漏洞（截至10月2日，29,439个候选中仅6,123个完成人工审查）的瓶颈。