Anthropic 今天上线了一款面向开源社区的免费工具——OSS Scanner。它的作用很直接：用 Anthropic 最强的模型（包括新一代旗舰 Mythos）去扫描开源项目的代码，帮你自动找出安全漏洞，并生成一份可读的漏洞报告。对于维护开源库、又请不起安全团队的个人开发者和中小团队来说，这是个实打实的免费福利。
OSS Scanner 是做什么的
简单理解，它就是一个”AI 驱动的开源代码安全扫描服务”。你把开源项目交进去，它用大模型去分析代码，识别潜在的安全问题：
- 漏洞报告：输出结构化的漏洞报告，告诉你哪里有问题、风险等级如何
- 最强模型加持：官方明确说用到了 Anthropic 最强的模型，包括旗舰模型 Mythos
- 面向开源项目：定位是服务开源社区，帮助维护者提升代码安全性
关键点是free。过去用顶尖大模型做代码安全审计，要么是付费的企业服务，要么得自己调 API、写提示词。OSS Scanner 把这件事做成了开箱即用的免费工具，降低了开源项目的安全门槛。
为什么这个时候推
过去一年，AI 供应链安全成了整个行业的心病。OpenAI 的模型曾被曝出通过 Hugging Face 的漏洞入侵供应链；三大 AI 巨头也罕见地联名呼吁加强 AI 网络防御，并成立了 安全组织 SAFA。更让人警惕的是，Google 的 Gemini 也曾被曝出 自主入侵公司系统——大模型本身既是防线，也可能成为攻击面。在这个背景下，Anthropic 推出免费的安全扫描工具，既是对社区的回馈，也是在安全议题上抢占话语权。
更深一层看，这也和 Anthropic 自家的旗舰模型定位有关。Mythos 系列在代码理解和推理上的能力，正好适合做”读代码、找漏洞”这种高难度任务。OSS Scanner 相当于把旗舰模型的能力，免费包装成一个具体的、有价值的产品。
What this means for developers
如果你是开源项目的维护者，OSS Scanner 值得一试，尤其是这几种情况：
- 项目有一定规模、但没做系统安全审计：让 AI 先跑一遍，至少能找出一些明显的注入、越权、依赖漏洞
- 想给用户一个安全背书：有第三方（或大模型）审计过，本身就是一种信任信号
- 作为 CI/CD 里的一个补充环节：可以和已有的静态分析工具叠加使用，互相查漏补缺
但也要客观看待局限：AI 扫描能发现”已知模式”的漏洞，但替代不了专业的安全审计和人工渗透测试。大模型会漏报、也可能误报，扫描结果应该作为线索而非最终结论。
和传统安全工具的区别
传统的开源安全扫描主要靠规则库和模式匹配，比如找已知的 CVE、检查依赖版本。OSS Scanner 的区别在于用大模型做语义层面的代码理解，能发现一些规则库覆盖不到的问题：
- 逻辑漏洞：越权、认证绕过这类需要理解代码意图才能发现的问题
- 上下文相关风险：数据流追踪、敏感信息泄露路径
- 组合型问题：多个看似无害的代码片段组合起来产生的风险
当然，两者不是替代关系，而是互补关系——传统工具快、便宜、覆盖广，大模型扫描更”聪明”但更慢也更贵（即便免费额度也有限）。理想做法是把两者都接进流水线。
Frequently Asked Questions (FAQ)
Anthropic OSS Scanner 真的免费吗？
是的，目前定位是免费服务，面向开源项目。不过免费服务通常会有额度、频率或适用范围上的限制，具体以 Anthropic 官方说明为准。
OSS Scanner 能替代专业安全审计吗？
不能完全替代。它适合做快速筛查和日常补充，但无法覆盖人工渗透测试才能发现的复杂业务逻辑漏洞。关键基础设施或高价值项目，仍建议找专业团队做审计。
它用的是什么模型？
官方表示用到了 Anthropic 最强的模型，其中包括旗舰模型 Mythos。这类模型在代码理解和推理上能力更强，适合做安全分析。
个人开发者适合用吗？
非常适合。个人维护开源库往往没有预算请安全团队，免费的大模型扫描能帮你发现很多明显的漏洞，成本几乎为零。
怎么开始使用 OSS Scanner？
访问 Anthropic 官方页面，把开源项目仓库（GitHub 链接或代码）提交进去即可。首次使用通常需要注册 Anthropic 账号，扫描完成后会收到一份结构化的漏洞报告，按风险等级列出发现的问题。
Summarize
Anthropic 用免费策略把旗舰模型的代码分析能力开放给了开源社区，这一招既实用又有品牌价值。对开发者来说，多一个免费的漏洞筛查工具总归是好事。想了解 Claude 系列模型和其他 AI 工具，欢迎查看我们的 AI Model Library and Tool Comparison Engine.
继续阅读：Claude Mythos 5 旗舰模型 · Gemini 4 Argon（网络安全模型） · 三大 AI 巨头联名呼吁网络防御 · OpenAI 供应链攻击事件.