Anthropic免费扫描器11天发现77个严重漏洞

Anthropic表示，其免费开源漏洞扫描服务OSS Scanner在运行的前11天内，共报告了77个严重（critical）和803个高危（high）级别问题。这些结果由Claude Mythos等模型判定，据gamebusiness.jp报道。

该服务对开源项目维护者免费，费用由Anthropic承担。报告在可能的情况下会附上复现代码、成因说明和修补建议。不过Anthropic指出，报告是未经人工审核的模型原始输出，可能存在误报。

在针对48个项目97个严重及高危发现的初步验证中，渗透测试人员确认其中85个（88%）符合披露标准，另有1个为误报。部分维护者反馈，扫描器有时会高估严重程度，或误读项目的威胁模型。

curl漏洞与后续处理

扫描器在curl中发现了CVE-2026-92392：服务器中断HTTP/2上传流时出现的释放后使用（use-after-free）问题，该漏洞已在2026年10月14日发布的curl 8.23.0中修复。curl负责人Daniel Stenberg称这是curl很长一段时间以来最严重的漏洞之一，也是自2021年以来curl第三个高危级别漏洞。curl表示，远程代码执行仅在特定条件下得到验证，条件较为严格，最可能的结果是程序崩溃。

该报告于9月15日来自OSS Scanner的预发布版本，curl因此将发布计划提前了两周。截至10月2日，Anthropic从自身模型扫描中得到29439个候选问题，但仅能人工审核6123个，并已向提出请求的维护者直接发送了近5000条未经核实的发现。扫描在隔离网络的沙箱中进行，使用项目的Dockerfile和可选的威胁模型；服务不设90天披露期限，报告也不会公开发布。由于邮件附带的漏洞验证代码大多被当作恶意软件拦截，报告现已全面加密，同时正在测试通过GitHub Security Advisories交付。

维护者需通过向anthropics/oss-scanner仓库提交添加配置文件的拉取请求来申请，Anthropic会核实其核心维护者身份。共收到约650份申请，审核后仅接纳114个项目。Anthropic以Google的OSS-Fuzz为参照，其付费企业产品Claude Security已经上市。