Anthropic 推出 OSS Scanner 免费扫描开源漏洞
图片来源：InfoQ 中文
2026年11月5日，据 InfoQ 中文报道，Anthropic 推出名为 OSS Scanner 的免费服务：开源项目可选加入，由 Claude 模型自动扫描项目中的安全漏洞，报告和补丁随后直接发送给项目方。curl、PostgreSQL 等知名开源项目已经从中受益。
图：Anthropic OSS Scanner 服务脉络示意（据 InfoQ 中文报道整理，AI 生成示意图）
可选加入，扫描交给 Claude
按 InfoQ 中文的报道，OSS Scanner 属于可选加入的服务——项目主动登记，Claude 才进场扫描，不收费，产出是漏洞报告和对应的补丁。对常年缺人手的开源维护者来说，这等于多了一双不知疲倦的眼睛；对 Anthropic 来说，这也是把 Claude 放进真实代码库里的一次公开检验。
报告之外，还直接送补丁
多数扫描工具止步于“发现问题”，OSS Scanner 把修复环节也接了过去：据 InfoQ 中文报道，报告和补丁会直接发送给项目。维护者收到的不止一份漏洞清单，还有一条可直接复核、可试验合入的修改建议。服务可选，扫描自动，但合不合码，决定权仍在维护者手里。
图：从自动扫描到补丁送达的流程示意（AI 生成示意图）
AI 生成的事件示意图，不代表新闻现场照片。
为什么先轮到 curl 和 PostgreSQL
这两个项目都属于“地基级”软件：curl 预装在大量联网设备上，PostgreSQL 支撑着众多生产数据库，漏洞修复历来依赖少数核心维护者的投入。据 InfoQ 中文报道，两者已成为 OSS Scanner 的受益者。样板落在地基级项目上并不意外——这类项目一旦出漏洞，代价由整个互联网分摊。
图：curl、PostgreSQL 等基础开源项目的安全维护示意（AI 生成示意图）
接进生态的一层“免疫系统”
从长期看，这件事的方向感很强：安全扫描原本是安全公司出售的服务，如今正变成开源生态自带的器官。它的分寸也站得住：可选加入，不抢维护者的门禁；报告和补丁送到门口，钥匙仍在人手里。工具把自己放在从属位置，人始终是最后签字的那一方。
2026年11月5日的这条消息没有发布会式的喧哗，只有一项免费服务、两个受益项目和一封封直接送达的补丁。它提示了一种可能：AI 进入软件供应链最深的入口，未必是替人类写新代码，也可能是替人类守住旧代码。
AI 最好的样子，是敲响维护者的门时，手里拿着补丁。