Anthropic 启动 Cyber Mission：免费 OSS Scanner 用最强模型扫开源漏洞，并联合 11 家伙伴保卫关键基础设施

核心背景与行业痛点

攻击侧已能用前沿模型分钟级挖洞与写 exploit，而开源维护者与 OT（工控）防守方长期人手不足。Anthropic 在 Project Glasswing 中用 Claude 扫描关键开源项目，累计发现逾 29,000 候选漏洞，但人工只能复核约 6,000；部分维护者甚至主动索要「未人工校验的全量报告」。10 月 8 日发布的 Anthropic Cyber Mission 把这一能力产品化为两条长期防线：开源与关键基础设施。

架构亮点与底层机制

OSS Scanner（见 研究长文）对标 Google OSS-Fuzz：合格项目 opt-in 后，由最强模型（含 Claude Mythos）定期免费扫描；每份报告含可复现 PoC、漏洞说明（尽量 bisect 引入点）与候选补丁。报告不做人工审阅，以换取速度与覆盖面——官方预期真阳性率 >90%，但承认严重级别可能偏高或威胁模型误判。人工 CVD 通道仍保留给需要人工背书的项目。

Critical Infrastructure Defense Program 面向电网、水务、交通等 OT：把前沿 Claude、驻场工程与威胁研究交给运营商信任的集成商/安全厂商；创始伙伴包括 Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi、Palo Alto Networks、PwC、Rockwell Automation。同周 Project Glasswing 并入扩大后的 Cyber Verification Program。

权威 Benchmark 与实测跑分对比

CyberGym 学术挖洞基准上，Anthropic 称 LLM 从去年初不足 20% 升至今年逾 85%。内部：安全专家抽检 48 个项目的 97 个高危扫描结果，85/97（88%） 达到其 CVD 标准；12 个未达标中 11 个为重复/已知，仅 1 个无效。早期试点反馈：PostgreSQL / OpenSSL / wolfSSL（74 份报告中除 2 份外均有效，5 个成 CVE）/ HotCRP 等维护者公开肯定信号质量。这些是 Anthropic 自述与合作方证言，非独立第三方红队复现榜。

开发者实战落地与开箱指南

若你是关键开源核心维护者：按官方 FAQ 向登记用 GitHub 仓库提交标准模板 PR 申请 OSS Scanner；服务面向「有能力消化发现」的项目，标准类似 OSS-Fuzz 的基础设施影响力评估。个人/小团队仍可用 Claude for Open Source 申请免费 Claude Max，以及 Cyber Verification Program 获取更强防御向能力。企业代码审计走 Claude Security 产品线，与免费 OSS Scanner 分流。防守方应预期：模型直出报告需自建分流与复现流水线，不要把「未审报告」直接当 CVE 工单。