Anthropic 啟動網路安全計劃：派駐工程師護電網，開源漏洞免費掃

過去半年，Anthropic 用自家最頂尖的模型去掃全球開原始碼，一口氣掃出了 2.9 萬個漏洞候選。但他們的人工團隊累死累活，也只來得及人工核對 6000 個。

另一頭，駭客用大模型寫攻擊程式碼只要幾分鐘。很多關鍵軟體的維護者急了，直接催 Anthropic：別等人工稽核了，把模型掃出來的原始結果連帶修復補丁，打包全發過來。

面對這種攻防失衡，Anthropic 宣佈啟動「Anthropic 網路使命」（Anthropic Cyber Mission）。核心就兩件事：一個是組團保衛電網水務等關鍵基礎設施，另一個是推出開源軟體免費漏洞掃描服務 OSS Scanner。

找漏洞只要幾秒，但修水管不能停機

AI 找漏洞的能力進步有多誇張？在學術基準測試 CyberGym 上，大模型的漏洞發現率從去年初的不到 20%，今年直接飆升到了 85% 以上。

但找漏洞容易，修起來要命。對於電廠、水務、交通和工廠等關鍵基礎設施，它們底層依賴的操作技術（OT）往往跑著幾十年前的工業控制器，很多系統根本不能停機打補丁。Anthropic 提到，在極端情況下，一個已知漏洞可能要等幾十年才能徹底修復。

為此，Anthropic 推出了「關鍵基礎設施防禦計劃」（CIDP）。他們拉來了 CrowdStrike、Palo Alto Networks、德勤、埃森哲、日立和羅克韋爾自動化等巨頭，直接派出駐場工程師、前沿 Claude 模型和威脅研究支援，幫這些核心供應商在不弄崩生產線的前提下抓緊修補漏洞。此前在 6 月，他們已經面向全美過半的州及地方政府開放了防禦支援。

靈感來自谷歌，AI 原始報告直接給開源專案

另一塊重頭戲是 OSS Scanner。Anthropic 明確表示，它的靈感來自 Google 著名的 OSS-Fuzz，但這次換成了最強大模型（包括 Claude Mythos）親自下場做全面審計。

這個服務對開源專案完全免費。最特別的是，它走的是「免人工稽核」的快速通道。Anthropic 之前發現，人工逐條複核根本跟不上模型跑出來的速度，而目前已有近 5000 份未驗證報告被維護者主動要走。

在 OSS Scanner 機制下，專案方申請加入後，就會定期收到 AI 全自動生成的報告。裡面包含完整的漏洞利用概念證明（PoC）、漏洞引入點溯源，以及現成的修復補丁。雖然未經人工檢查可能存在評級失準，但官方給出的真陽性率預期在 90% 以上。在一項針對 48 個專案的早期測試中，97 個嚴重漏洞裡有 85 個（88%）被確認為有效漏洞。

一線核心專案的反饋相當直接。PostgreSQL 維護者 Noah Misch 表示報告中的很多補丁幾乎拿來就能用；wolfSSL 團隊收到的 74 份報告中只有 2 份無效，其中 5 個直接變成了 CVE；curl 作者 Daniel Stenberg 則直言，該掃描器幫他們挖出了近年來 curl 最嚴重的漏洞之一。

為了給開源後盾輸血，Anthropic 設立的「防禦者優勢基金」（0xDAF）將持續資助這項免費服務，並向 Python 軟體基金會、Linux 基金會旗下的 OpenSSF 等組織提供資金。

為什麼重要

我們認為，Anthropic 這次走得非常聰明，它看準了當前 AI 安全領域最大的死穴：防禦方不是缺發現漏洞的眼力，而是缺跟上駭客節奏的人力和時間。

對廣大開發者而言，如果你是核心開源庫的維護者，OSS Scanner 絕對值得立刻去申請。以前 AI 生成的漏洞報告大多被維護者當作垃圾郵件，而現在帶著可復現 PoC 和可用補丁的報告，已經能直接嵌入現有修復流程，極大減輕獨立維護者的負擔。

但隱患同樣明顯。Anthropic 自己預判，AI 在兩年內才會真正利好防禦方，眼下卻依然處在攻擊成本極低、防禦嚴重滯後的危險期。把未經驗證的 AI 漏洞報告直接推給專案方，本質上是把安全風險和排查壓力轉嫁給了維護者；對於那些本就缺乏人力的普通小團隊，海量的潛在隱患很可能會讓他們徹底崩潰。

從行業競爭來看，Anthropic 正在用實際行動把「安全」做成自己對抗 OpenAI 的最強護城河。比起只賣 API 或做常規程式碼助手，直接切入電網、政府系統和開源軟體根基，不僅鎖定了高階企業服務和政府訂單的信任度，也用極其漂亮的公益姿態拉攏了整個開源生態。