Anthropic在10月8日公佈了"網絡安全使命"(Cyber Mission)長期計劃,把公司的安全工作分成兩條線:守住關鍵基礎設施,以及給開源軟件做免費的AI漏洞掃描。其中開源掃描服務名爲OSS Scanner,開源項目自願報名即可接入,不收費。
OSS Scanner借鑑了Google的OSS-Fuzz做法:報名後的開源項目會定期接受Anthropic最強模型(含Claude Mythos)的代碼掃描,發現可疑漏洞後自動生成報告發送給維護者。報名通過GitHub上的登記流程完成,Anthropic逐個項目審覈,優先收納與關鍵基礎設施或安全相關的項目,運營資金來自其"Defender Advantage Fund"(0xDAF),公司承諾長期免費。
Anthropic表示,每份報告包含可獨立復現的驗證代碼或概念驗證、附二分法定位的說明,以及有現成補丁時的候選補丁。爲換取速度和頻次,報告跳過了人工審覈環節:公司坦言會有誤報的可能,包括嚴重性評級出錯,但預期真陽性率在九成以上。這是在其"Project Glasswing"項目基礎上的升級——後者此前已人工審覈式掃描了1000多個開源項目。
爲驗證早期版本,Anthropic請負責其協同披露審覈的專業滲透測試員抽查了48個項目中97個嚴重和高危發現:85個(88%)達到其披露標準,另有11個屬實但與已知問題重複,僅1個是誤報。公司還透露,過去六個月模型共標出2.9萬多個候選漏洞,其中約6000個經過人工複覈分流,近5000份未經驗證的報告直接發給了主動要求"全量接收"的維護者。
幾個知名項目的維護者給出了具體反饋:wolfSSL的Todd Ouska說收到的74份報告中除兩份外全部有效,其中5個變成了CVE;PostgreSQL的Noah Misch說掃描發現的真實缺陷比例異常地高,部分報告附帶的修復幾乎可直接採用;OpenSSL的Anton Arapov說收到的報告質量不遜於人工報告,甚至更好;HotCRP的Eddie Kohler稱報告細緻清晰。Nethermind、比特幣閃電錢包ZEUS等加密項目也在首日提交了申請。
與此同時,Anthropic把6月起爲州及地方政府推出的網絡防禦計劃併入"使命":已向超過半數美國州及部分大型公共關鍵基礎設施運營商提供前沿Claude模型和技術支持,加速代碼掃描、補丁和紅隊工作;Accenture成爲創始合作伙伴。此外,公司把"網絡驗證計劃"擴展爲三檔,讓更多受審覈的安全團隊使用Claude Mythos 5.1。Anthropic說,防禦方與攻擊方都在用AI,唯一的出路是讓防禦側先拿到更強的工具。