Anthropic 本周推出了一款免费、需主动加入的开源项目 AI 安全扫描器,时机有些微妙。如今 AI 能在人类审计多年的代码里找出真正的漏洞,也能用假漏洞把志愿维护者埋掉。两件事同时成立,小团队得想清楚该怎么办。
这项名为 OSS Scanner 的新服务,会用 Anthropic 最强的模型对已加入的项目定期做漏洞扫描。每份报告都附带复现代码、原理说明,条件允许时还会给出候选补丁(Anthropic)。同类产品还有 Google、OpenAI、GitHub、Snyk 和 Semgrep 的各种方案,另一边则是越积越多的低质量 AI 报告,已经让一些维护者关上了大门。
本文帮你理清这些问题:这些工具做什么、哪些不花钱、如何接入才不会伤到自己,以及一个两人团队就能跑起来的工作流。简单说:AI 扫描器已经好到值得认真对待,但没人该不看就合并它产出的东西。
Anthropic 的 OSS Scanner 做什么
核心维护者需要按模板在 GitHub 仓库提交 pull request 来报名。Anthropic 逐个项目决定,标准类似 Google 的 OSS-Fuzz:项目必须对基础设施和用户安全有"关键影响"(Anthropic)。所以这不是给所有业余仓库准备的,想想 curl 和 wolfSSL 这类半个互联网都在链接的库就明白了。
它是免费的。扫描费用来自 Anthropic 称为 Defender Advantage Fund 的一笔资金(SiliconANGLE),公司表示已加入的项目无需付费。
最关键的是缺了什么。报告是"完全由模型生成,没有人工审核或分诊",Anthropic 也坦率承认其中有些会出错(Anthropic)。它举的一个例子是严重程度评级不准。人手不足、没法逐条筛报告的项目,可以继续走 Anthropic 现有的披露流程,由人先验证(SiliconANGLE)。
Anthropic 自己的数据说明了它为什么觉得这笔交易划算。资深渗透测试人员审核了 48 个项目中的 97 个严重和高危发现:85 个达到协同披露的标准,11 个是重复或确实存在但已为人所知的问题,1 个无效(Anthropic)。另外,wolfSSL 表示早期试用中的 74 份报告有 72 份有效,并产出了 5 个 CVE(SiliconANGLE)。
负责 curl 的 Daniel Stenberg 说,这款扫描器发现了"近几年报告的 curl 漏洞中最严重的之一"(Anthropic)。请记住,这些数字全部来自 Anthropic 或其合作方。Anthropic 还表示预计真阳性率会超过 90%(Anthropic),这只是预测,不是对你仓库的保证。
AI 扫描器实际做什么:找、证、补
老式静态分析是拿代码去匹配规则,速度快、结果可预测,但会用警告把你淹没。新一代 agentic 扫描器更像一位初级安全研究员:读代码,推测哪里会出问题,尝试触发,最后才写报告。
要重点看中间那一步。附带可运行利用代码的发现,和只附一段自信满满文字的发现,完全是两回事。
从左往右看这条流程。前三步是为了"准":候选漏洞在任何人看到之前先过一遍真实测试。第四、五步是为了"有用":说明哪里出了问题,并给出修复草稿。最后一格归你,它是琥珀色是有原因的。Google 表示每个 CodeMender 补丁都经过人工审核,GitHub 的 Autofix 也只提供建议。Anthropic 的扫描器在分诊上是例外,所以最后这一格就落到了你身上。
2026 年的格局
OSS Scanner 并不孤单。Google 的 DeepMind 做了会找漏洞的 agent Big Sleep,以及负责写修复的 CodeMender。DeepMind 称已向开源项目上游提交了 72 个安全修复,且每个补丁都先经人类研究员审核(Google DeepMind)。CodeMender 此后已面向 Google Cloud 企业客户开放公开预览,它在沙箱里构造概念验证利用代码,并以 diff 形式返回经过测试的修复,供开发者审阅(Infosecurity Magazine)。
OpenAI 的版本最初叫 Aardvark,是基于 GPT-5 的 agent:它为你的仓库建立威胁模型,监控新提交,在沙箱里确认问题并提出补丁。OpenAI 称它在测试仓库的已知和合成漏洞上达到 92% 的检出率,并发现了获得十个 CVE 编号的问题(OpenAI)。此后 OpenAI 已把它并入 Codex 并改了名:Aardvark 页面现在写着"Aardvark is now Codex Security",以研究预览形式提供(OpenAI)。文档把 Codex Security 描述为帮助团队"发现、确认并修复漏洞"的 agent,云端版本仍处于研究预览阶段(OpenAI docs)。
这张图按工作类型给它们分了组,分组是我们自己的,不是厂商的说法。最上面一行负责发现并验证。中间一行跑在你的流水线里,每次提交都会处理。最下面一行方向相反,测试的是 AI 系统本身。
中间这一行里,GitHub Copilot Autofix 会为 GitHub 的扫描器 CodeQL 报出的告警建议修复。Semgrep 和 Snyk Code 用各自的引擎做类似的事,SonarQube 则在代码质量之外加上安全检查。CodeRabbit 负责审查 pull request。最下面一行里,garak 探测语言模型的弱点,PentestGPT 则用模型驱动渗透测试。我们的 AI 网络安全榜单对更广泛的工具做了排名,代码审查榜单则覆盖 pull request 类工具。
| 工具 | 主要用途 | 谁能用 |
|---|---|---|
| OSS Scanner(Anthropic) | 发现并验证漏洞,起草补丁 | 已加入的开源项目,免费 |
| Codex Security(OpenAI) | 发现、确认并修复 | Codex 内的研究预览 |
| CodeMender(Google) | 扫描、验证并打补丁 | 公开预览,Google Cloud 客户 |
| Copilot Autofix(GitHub) | 为 CodeQL 告警建议修复 | 公开仓库免费 |
| Semgrep | 基于规则的扫描,带 AI 功能 | 最多 10 名贡献者免费 |
| Snyk Code | 代码和依赖扫描 | 免费方案,每月 100 次 Code 测试 |
表里的内容大多来自厂商页面,而厂商描述自家产品总是比较客气。最有用的是"谁能用"那一列,它变得很快。
另一面:维护者正在被淹没
能找出真漏洞的模型,同样能写出以假乱真的假漏洞。curl 是最典型的例子。它的漏洞赏金计划从 2019 年运行到 2026 年初,为 87 个已确认的漏洞支付了超过 $100,000,然后关闭。到 2025 年,确认有效的报告不到 5%,而早些年是 15% 以上(Daniel Stenberg)。
赏金计划结束前的最后一周,curl 收到七份提交,没有一份描述了漏洞(The Register)。Stenberg 的理由很直接:目的是"消除人们向我们提交垃圾和未经充分研究的报告的动机,不管是不是 AI 生成的"。Apache Log4j 的 Piotr Karwasz 也描述了同样的情况,他说很多报告"忽视了我们安全模型的基本原理,带来的是噪音而不是价值"(Daniel Stenberg)。
curl 后来走得更远。Stenberg 写道,项目今年夏天暂停了一个月的漏洞报告,并称这"可能是我们很长一段时间以来最好的项目决定"(Daniel Stenberg)。
注意,同一个为了挡 AI 噪音而关掉赏金的项目,也称赞了一款发现其最严重漏洞之一的 AI 扫描器。这并不矛盾。区别在于有没有可用的复现代码,以及发送者是否已经做过验证。能证明自己结论的模型,只花维护者几分钟;直接粘贴模型输出的人,要花掉他们几个小时。
Anthropic 的扫描器绕过了人工这个中间环节,这既是卖点也是风险。它加快了送达速度,也意味着一份没人读过的报告可能直接出现在你面前。如果你维护着一个项目,表里每一家厂商都可能给你带来更多这样的报告。
攻击者用的是同样的模型
Anthropic 自己的公告写道:"前沿模型可能被滥用于利用漏洞和实施网络行动"(Anthropic)。实际含义很简单:任何人都能把强模型对准公开代码,问它哪里会出问题,而开源按定义就是公开的。
这才是扫描自家代码的真正理由。不是因为 AI 扫描器有多神,而是因为漏洞存在到被别人发现之间的窗口越来越短,你肯定希望自己先发现。没有扫描的项目并不安全,只是没人盯着而已。
哪些免费,哪些要钱
如果你的代码是公开的,很多有用的功能都免费。对使用 CodeQL 的公开仓库,Copilot Autofix 默认开启,无需 Copilot 订阅(GitHub)。GitHub 早在 2024 年就让所有公开仓库免费使用(GitHub changelog)。
Semgrep 免费版最多支持 10 名贡献者和 10 个仓库,含 60 个 AI credits(Semgrep)。Snyk 的免费方案允许 5 个项目,每月 100 次 Snyk Code 测试(Snyk),公司还有一个计划,开源维护者可以申请免费使用。
收费的部分主要集中在私有代码和 agent。GitHub 较新的 agentic autofix 仍在预览中,会消耗 AI credits,私有仓库上的 Copilot Autofix 则需要 Code Security 许可证(GitHub)。Codex Security 需要获得研究预览的访问资格(OpenAI docs)。
如何安全地接入
免费不等于没有后果。一个会读你的代码、再把报告发给你的扫描器,会影响你的工作流、披露流程,有时还会影响你的声誉。几个步骤可以把这些控制住。
- 先确认资格。OSS Scanner 要求项目对关键基础设施或安全有重大影响,提交 pull request 之前,先去读 Anthropic 仓库里的标准,免得白费时间。
- 决定报告发到哪里。用私密渠道,比如 GitHub 的私有漏洞报告功能或安全邮箱,避免修复出来之前漏洞就被公开。
- 指定一个负责人。所有报告交给一个人,由他决定怎么处理。如果是两个人,往往各自都以为对方在管。
- 阅读所有托管型扫描器的数据条款。比如 Semgrep 表示,开启的 AI 功能可能会处理文件中包含发现的那部分内容(Semgrep)。要清楚哪些东西离开了你的机器。
- 从只读权限开始,补丁只作为建议。任何工具都不该直接推送到你的主分支。
- 在第一份报告到来之前,先写下你的披露时间表。照着自己冷静时定的规则做事,要容易得多。
这些都不稀奇,就是优秀维护者对待任何外部研究者的那套规范,只不过要赶在报告量涌来之前做好。
小团队的工作流
如果你是个 2 到 10 人的产品团队,不需要第一天就上 agentic 扫描器。你需要的是一个能清空的队列。下面这个循环有六步,琥珀色那一步正是大多数团队最爱跳过的。
重放验证这一步,决定了扫描器是有用还是只会制造噪音。报告里有复现代码,就自己跑一遍;没有,就向对方要。一个拿不出可运行证据的模型,给你的只是一个推测,而推测太廉价了。
不知道从哪开始?下面的决策树列出了常见情况。这是基于上述厂商条款的编辑建议,请按你的实际情况调整。
对大多数小团队来说,更好的第一步是用一个免费的 pull request 扫描器,再指定一个人负责处理结果。等这个队列稳定几周之后,再加 agentic 工具。业余仓库用托管平台自带的免费默认配置就够了。而处在关键链路上的库,才是应该申请 OSS Scanner 的那一类。
算一算分诊成本
没人会把分诊时间写在价格页上,但恰恰是这项成本决定了扫描器是帮忙还是添乱。再好的工具也会产出一些重复项,Anthropic 自己的审核里,97 个里就有 11 个。下面的计算器会把你的报告量换算成工时。
试着调高无效报告的比例,看看工时堆得有多快。再把每份报告的处理时间降到 15 分钟,粗略感受一下有效证明能帮你省多少(这个数字只是示意,不是实测)。这个差距,就是要求提供复现代码的理由,无论对 AI 工具还是对人都一样。
报告开始涌入之后,有几个习惯会有帮助。下图做了总结。
第一组值得再强调一遍。严重程度评级来自模型,Anthropic 自己也提醒可能出错(SiliconANGLE)。重放之后,自己来定级。确认漏洞属实之后,Claude Code 这类助手可以帮你写修复和回归测试,但判断仍然在你手里。想了解这类工具的更多背景,可以看我们的 AI 编程助手榜单和 AI 代码审查工具指南。
这些工具还有哪些短板
它们擅长那些会在代码里留下痕迹的漏洞类型:内存错误、注入、缺失的检查。而对取决于业务实际运作方式的缺陷就弱一些,比如谁有权批准什么。扫描器无从知道你的意图。
它们也不能取代安全工作的其余部分。Google 的 CodeMender 在补丁提交上游之前仍由人工审核(Google DeepMind),GitHub 则表示 Autofix 只能尽力而为,无法确认修复是否解决了自定义查询产生的告警(GitHub)。利益最大的厂商,也还是叫你自己检查输出。
真正的限制是数量。发现漏洞变便宜的速度,比修复漏洞快得多。一个扫描器丢给三人项目四十个真实问题,造成的是积压,而不是更安全的产品。选工具要看你一个月能修多少,而不是它能找出多少。
常见问题
Anthropic 的 OSS Scanner 对所有 GitHub 仓库开放吗?
不是。它需要主动加入,并逐个项目评估,标准类似 OSS-Fuzz,项目必须对基础设施和用户安全有关键影响。维护者通过向 Anthropic 的 GitHub 仓库提交 pull request 来申请。
AI 扫描器能取代渗透测试吗?
对客户真正在意的东西,不能。它们对代码层面的漏洞覆盖得不错,对业务逻辑缺陷则不行。把它们当作一直在跑的额外一层,再配合偶尔的人工审查。
我能直接用 Claude 或 Gemini 审计自己的代码吗?
你可以把代码贴进 Claude 或 Google Gemini,请它做安全审查。对单个函数有帮助。但它没有上面那些专用 agent 提供的沙箱、全仓库威胁模型和利用验证,所以误报会更多。
收到看起来像是 AI 编的报告怎么办?
要求对方针对某个具体版本提供复现代码。真实的发现答得出这个问题,编造的往往答不出。如果有人一直发这种报告,你完全可以直接关掉,不用再理会。
免费扫描器能放心用在私有代码上吗?
逐个读它们的条款。有些完全在你自己的机器上运行,有些会把文件片段发给托管模型。连接私有仓库之前,先弄清厂商存储什么、存多久。