Anthropic用Claude扫描25个开源项目，发现近500个安全问题

Anthropic于2026年10月22日公布一项研究：该公司使用其AI模型Claude分析了25个以C、C++、Java、PHP和Python编写的主要开源项目，共发现近500个安全问题。这些项目的代码总量超过500万行。

据TechRadar报道，Claude盘点了超过17,000个配置选项，其中3,842个与安全相关。研究还发现，11个面向已认证用户设计的项目中，全部存在本不应被访问到的可触达代码。

在默认配置下，分析共识别出93个预认证攻击面、37处认证发生前即执行的代码，以及61种削弱预认证控制措施的配置组合。此外，项目中存在162种没有任何文档说明其预期行为的配置组合，其中一处配置缺陷已有逾二十年未被发现。

OpenSSH被作为案例之一：其守护进程在校验服务器配置是否允许之前，就能触达约4,500行实验性后量子签名算法代码。OpenSSH随后在10.6版本中发布修复，使约20%的代码无法被未认证客户端触达。

将整合进OSS-Scanner

Anthropic表示，已将上述技术整合为一个可复用的Claude技能，并计划接入其免费的、自愿加入的开源项目安全扫描服务OSS-Scanner。该技能会通过动态程序追踪验证发现，并针对现有行为测试拟议的修改，可能造成破坏性影响的改动则交由人工审核。