OSS Scanner 讓開源專案免費收到 AI 找出的漏洞，但接下報告的人仍要有能力驗證與修補。 Anthropic 在 10 月 8 日公告推出這項自願加入的服務，納入 Anthropic Cyber Mission。對在台灣維護開源工具的團隊，值得考慮的是多一個持續找問題的來源；申請前，先確認誰能重現漏洞、判斷影響並處理修補。
這次服務與 Claude CVP 資格計畫不同。CVP 處理安全工作者使用模型的權限；OSS Scanner 則由 Anthropic 掃描獲准加入的開源專案，將發現寄給維護者。企業內部程式庫、一般使用者的付費訂閱，都不能直接視為取得這項免費服務的資格。
免費掃描，為何把人工審核留給維護者？
依研究團隊的上線說明，Anthropic 過去替開源專案找漏洞時，人工驗證成了報告送出的瓶頸。部分維護者願意提早接收尚未驗證的發現，OSS Scanner 因而提供這條較快的通道。報告附有可重現漏洞的材料、問題說明，以及可提供時的候選修補。
較早拿到報告，不等於拿到可以直接合併的修正。 模型可能重報已知問題，也可能把嚴重性判得過高，或誤解專案原本允許的行為。維護者需要確認重現是否成功、攻擊前提是否成立，再檢查修補有沒有破壞正常功能。不建議把收到的每封信都直接當成已確認漏洞，交給開發者照單修改。
官方揭露紀錄也把「找到候選問題」「人工確認」「上游完成修補」分開統計。這些是不同進度，不能用掃到多少問題推論軟體已經更安全。從 Glasswing 到修補瓶頸，真正需要接上的一直是維護與發布工作。
候選修補值得用來縮短調查時間，卻不該省掉原有審查。我會先讓測試重現報告中的失敗，再確認套用修補後失敗消失、正常測試仍能通過；若問題只在專案不支援的設定成立，應回覆這個前提，避免把模型判級直接變成發布優先序。這是維護工作的判斷，不是服務已替團隊完成的保證。
OSS Scanner 未經人工驗證的發現，目前不套用強制的 90 天揭露期限。但若 Anthropic 後來人工確認同一問題，並通知維護者，就可能從該通知開始依協調式漏洞揭露政策處理。不能把「這封信沒有期限」理解為這個問題永遠不會公開。
誰能申請 OSS Scanner？公開程式碼只是起點
官方 FAQ說明，專案須對基礎設施或使用者安全有重要影響，Anthropic 會逐案判斷，並人工確認申請者是核心維護者。會處理不可信輸入、被許多使用者或專案依賴，都是考量因素；公告未保證任何公開專案都能加入。
申請方式是到 anthropics/oss-scanner 提交拉取請求，加入專案設定與 Dockerfile 建置說明，並指定接收報告的人。程式庫不必放在 GitHub，但團隊要讓掃描環境能建好專案。官方說明將建置與掃描分開：建置階段可連網取得依賴，之後的安全分析在沒有網際網路存取的環境執行。
台灣的小型維護團隊可以先看自己的安全信箱是否有人接手，而不是先花時間送申請。若目前連已確認的高風險問題都還在排隊，我不建議再接一批未驗證報告。這時保留原有人工確認後的揭露流程，優先清理待修問題，對使用者更有幫助。
若已有人負責安全維護，申請資料應把專案的安全界線寫清楚，例如哪些輸入不可信、哪些行為屬於預期功能。設定中的聯絡信箱會公開，宜使用專案安全信箱。這些準備能減少收件混亂，也讓報告較容易回到既有工作安排，並不是核准保證。
也別把「定期」理解成固定每週寄送。FAQ 說明後續掃描頻率會受專案數量與使用情況等因素影響，沒有承諾統一週期。原本的安全信箱與版本檢查仍要維持，不宜等下一封掃描報告才處理已知問題。
我認為 OSS Scanner 最適合已能接住安全通報、卻缺少持續檢查人力的開源專案。送件前先指定報告負責人，確認重現環境可用，收到問題後再把驗證、修補與版本發布交回原有流程；人力跟不上時，可依 FAQ 暫停或退出。
如果你的公司只是使用開源套件，下一步應是追蹤上游安全公告、盤點受影響版本並安排更新。掃描服務是提供給維護者的支援，企業部署仍要自己完成。想了解它從何而來，可接著讀 Project Glasswing 背景；不要把供應商找到漏洞的能力，當成自家系統已經完成修補。
常見問題
OSS Scanner 免費，任何開源專案都能加入嗎？
不一定。Anthropic 會依專案對基礎設施與使用者安全的影響逐案審查，並確認申請者是核心維護者。只有公開程式碼並不足以保證核准。
OSS Scanner 會自動合併修補嗎？
官方描述的交付是寄送漏洞報告與可提供時的候選修補。這些內容未經人工審核；維護者仍須重現、審查並決定是否採用，不能視為已完成修補。
沒有能力處理報告，可以暫停嗎？
可以。依官方 FAQ，維護者可提交設定修改暫停，或移除專案退出；退出後回到標準協調式漏洞揭露流程，不再接收這項服務的自動未驗證報告。
參考來源
- Anthropic 官方：Introducing the Anthropic Cyber Mission（2026-10-08）
- Anthropic Frontier Red Team：Launching an opt-in vulnerability-finding service for open-source software（2026-10-08）
- Anthropic Frontier Red Team：OSS Scanner FAQ（查閱：2026-10-12）
- Anthropic 官方 GitHub：oss-scanner README（查閱：2026-10-12）
- Anthropic Frontier Red Team：Coordinated vulnerability disclosure dashboard（更新：2026-10-02）
- Anthropic 官方：Coordinated vulnerability disclosure for Claude-discovered vulnerabilities（更新：2026-03-06）