跳到主要內容

OSS Scanner評測：Anthropic免費抓漏洞，一半沒人審 | OSS Scanner Review: Anthropic Scans Code, Half Unchecked

By Kit 小克 | AI Tool Observer | 2026-10-09

🇹🇼 OSS Scanner評測：Anthropic免費抓漏洞，一半沒人審

OSS Scanner是Anthropic在2026年10月8日推出的免費漏洞掃描服務，用Claude的前沿模型幫開源專案掃描程式碼找安全漏洞，申請門檻不低，過去半年測試已揪出2.9萬個疑似漏洞，但真正經過人工覆核的只有6千筆左右。對開源維護者來說，這是免費資安外援，但報告品質到底可不可信，值得先搞清楚再申請。

OSS Scanner是什麼？

OSS Scanner是Anthropic Cyber Mission底下的一項服務：開源專案可以申請加入，Anthropic就會用Claude定期掃描程式碼庫，找出潛在安全漏洞。每份報告附上漏洞成因說明、概念驗證（PoC），以及建議修法；如果可行的話。靈感來自Google的OSS-Fuzz，差別是OSS-Fuzz做模糊測試（fuzzing），OSS Scanner靠的是語言模型讀程式碼邏輯抓漏洞。

開源專案怎麼申請OSS Scanner？

申請方式是發GitHub PR，但不是人人有獎。Anthropic篩選標準包括：專案是否對基礎設施或使用者安全有重大影響、是否暴露在遠端攻擊風險下、以及有多少其他專案或使用者依賴它。換句話說，你家那個50個star的side project大概排不到隊，這個服務主要照顧的是生態系裡「掛了會死很多人」的關鍵專案。

2.9萬個漏洞，為什麼只人驗6千筆？

這是整件事最該誠實講的地方。Anthropic過去半年用自家模型掃描核心開源專案，找出2.9萬個疑似漏洞，但人力只來得及覆核大約6千筆，其中高風險等級的有88%符合揭露標準——意味著就算是人工看過的子集，也有一成多是誤判。至於剩下的2.3萬筆沒人看過的呢？OSS Scanner還提供一個「快速通道」選項，讓專案直接收到模型生成、未經人工審核的報告。換句話說，你申請加入快速通道，等於自己當那個人工審核員，過濾模型的幻覺漏洞。

  • 優點：免費、用的是Anthropic最強模型、報告附PoC和修法建議，省下請資安顧問的錢
  • 缺點：申請門檻高、快速通道報告沒人把關、誤判率不是零

如果你維護的是依賴人數眾多的核心開源專案，OSS Scanner值得申請——免費資安稽核不嫌多。但如果你是收到快速通道報告，記得把它當成「AI產的線報」而不是「鑑定結果」，自己動手驗證再動刀。好不好用，試了才知道。

🇺🇸 OSS Scanner Review: Anthropic Scans Code, Half Unchecked

OSS Scanner is Anthropic's free vulnerability-scanning service, launched October 8, 2026, that uses Claude's frontier models to scan open-source codebases for security bugs. In six months of testing, it flagged 29,000 suspected vulnerabilities, but Anthropic's own team only had bandwidth to manually review about 6,000 of them. If you maintain an open-source project, this is free security help, but you should know exactly how reliable the reports are before applying.

What Is OSS Scanner?

OSS Scanner sits under Anthropic's new Cyber Mission initiative. Eligible open-source projects can enroll to get periodic scans of their codebase by Claude's strongest models. Each report includes an explanation of the bug, a proof-of-concept exploit, and a suggested fix where one exists. It is explicitly inspired by Google's OSS-Fuzz, except where OSS-Fuzz relies on fuzzing, OSS Scanner relies on an LLM reading code logic to spot flaws.

How Do You Apply for OSS Scanner?

You apply via a GitHub pull request, but not every project gets in. Anthropic's eligibility bar favors established projects with critical impact on infrastructure or user security: exposure to remote attacks, and how many other projects or users depend on it. Your 50-star side project probably is not the priority; this service is aimed at the load-bearing pillars of the open-source ecosystem.

29,000 Bugs Found, Only 6,000 Reviewed. Why?

This is the part worth being honest about. Over six months, Anthropic's models scanned core open-source projects and surfaced 29,000 candidate vulnerabilities, but humans only reviewed around 6,000. Of those reviewed, 88% of high-severity findings met disclosure criteria, meaning even in the human-checked subset, over 10% were false positives. As for the remaining 23,000 nobody looked at, OSS Scanner also offers an opt-in fast track that sends model-generated reports straight to maintainers with no human review at all. Opt into fast track, and you become the human reviewer filtering the model's hallucinated bugs.

  • Pros: free, powered by Anthropic's strongest models, reports ship with a PoC and suggested fix, real money saved versus hiring a security consultant
  • Cons: high eligibility bar, fast-track reports are unreviewed, false-positive rate is not zero

If you maintain a widely-depended-on open-source project, OSS Scanner is worth applying for. Free security audits never hurt. But if you get a fast-track report, treat it as an AI-generated tip, not a verified finding, and verify it yourself before you patch. You won't know until you try it.

Sources / 資料來源

常見問題 FAQ

OSS Scanner是免費的嗎？

是，OSS Scanner完全免費，由Anthropic的Defender Advantage Fund出資，不需要付費訂閱Claude方案。

任何開源專案都能申請OSS Scanner嗎？

不是。Anthropic優先審核對基礎設施或使用者安全有重大影響、依賴人數多的既有專案，小型side project不是優先對象。

OSS Scanner的報告可以直接信嗎？

不建議。快速通道報告是模型生成、未經人工審核，過去半年2.9萬筆疑似漏洞中僅6千筆經人工覆核，誤判率並非零。

OSS Scanner和Google的OSS-Fuzz有什麼不同？

OSS-Fuzz靠模糊測試（fuzzing）找漏洞，OSS Scanner則是用Claude語言模型直接閱讀程式碼邏輯來抓安全漏洞。

延伸閱讀 / Related Articles

AI 工具觀察站 — 每日精選 AI Agent 與工具趨勢
AI Tool Observer — Daily curated AI Agent & tool trends

留言

張貼留言

這個網誌中的熱門文章

Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 | Google Ironwood TPU v7 Explained: Matching NVIDIA Performance at 44% Lower Cost — The AI Chip War Heats Up

By Kit 小克 | AI Tool Observer | 2026-04-21 🇹🇼 Google Ironwood TPU v7 推理專用晶片解析：效能追平 NVIDIA、成本低 44%，AI 晶片戰爭正式開打 Google Ironwood TPU 是什麼？為什麼它讓 NVIDIA 緊張？ Google Ironwood TPU（代號 TPU v7）是 Google 第七代自研 AI 晶片，也是第一款 專為推理（inference）設計 的 TPU。在 AI 模型越來越大、推理需求暴增的時代，Google 不再只依賴 NVIDIA GPU，而是推出自己的推理專用晶片來搶市場。 Ironwood TPU v7 規格有多強？ 每顆 Ironwood TPU 提供 4.6 petaFLOPS 的 FP8 運算效能 ，搭載 192 GB HBM3E 記憶體，頻寬達 7.37 TB/s。單顆效能略高於 NVIDIA B200（4.5 petaFLOPS），接近 GB300 的 5 petaFLOPS。 更驚人的是規模化能力：Ironwood 可擴展至 9,216 顆晶片組成超級叢集 ，總算力達 42.5 ExaFLOPS，遠超 NVIDIA GB300 NVL72 系統的 0.36 ExaFLOPS。共享記憶體池高達 1.77 PB，解決了大型模型推理時的資料瓶頸問題。 Ironwood TPU 比 NVIDIA 便宜多少？ 根據分析，Ironwood 的 整體擁有成本（TCO）比 NVIDIA GB200 低約 44% 。在能效方面，Ironwood 的 FP8 效能達每瓦 5.42 TFLOPS，而 GB300 為 3.57 TFLOPS/W，Google 晶片的能效高出約 52%。 為什麼 Google 要做推理專用晶片？ AI 產業正從「訓練時代」轉向「推理時代」。當 ChatGPT、Gemini、Claude 等 AI 助手每天處理數十億次查詢時，推理運算的需求遠超過訓練。Google 稱之為「推理時代（age of inference）」，而 Ironwood TPU 就是為這個時代量身打造的武器。 對開發者和企業有什麼影響？ Ironwood TPU 目前 只能透過 Google Cloud 使用，無法...
閱讀完整內容

Claude Code 實測：AI 幫你寫程式到底行不行？ | Claude Code Review: Can AI Really Code for You?

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Claude Code 實測：AI 幫你寫程式到底行不行？ Claude Code 是 Anthropic 推出的命令列 AI 程式助手，直接在你的終端機裡運作。跟其他 AI 程式工具不同的是，它不是 IDE 外掛，而是一個獨立的 CLI 工具，可以讀取你的整個 codebase、執行指令、甚至幫你做 git 操作。我實際用了幾個月，以下是真實心得。 安裝與設定 安裝非常簡單，透過 npm 就能搞定： npm install -g @anthropic-ai/claude-code 。啟動後它會要求你登入 Anthropic 帳號或設定 API key。整個流程不到五分鐘。 實際使用體驗 Claude Code 最強的地方在於 它理解你的整個專案 。你不需要手動貼程式碼，它會自己讀取相關檔案、分析程式結構，然後給出建議或直接修改。實測幾個場景： Bug 修復 ：描述錯誤現象，它能自動找到問題檔案並提出修正，準確率大約 70-80% 新功能開發 ：給它需求描述，它能產出可用的初版程式碼，但通常需要人工調整細節 程式碼重構 ：這是它最擅長的。重新命名變數、抽取函式、調整架構，做得又快又好 寫測試 ：給它一個函式，它能產生相當完整的測試案例 優缺點分析 優點： 深度理解 codebase，不是只看單一檔案 可以執行 shell 指令，直接跑測試、裝套件 支援 CLAUDE.md 讓你定義專案規則 agentic 模式下可以自主完成多步驟任務 缺點： API 費用不便宜，大型專案一天可能花 10-30 美元 偶爾會過度修改，改了不該改的地方 對非英語的程式碼註解理解力稍弱 需要良好的網路連線 適合誰用？ 如果你是全端開發者、需要處理多個專案、或者經常做重構，Claude Code 絕對值得一試。但如果你只是寫簡單的腳本，免費的 Copilot 可能就夠了。 Kit 的結論： Claude Code 是目前最接近「AI 工程師」的工具。它不完美，但確實能大幅提升生產力。好不好用？試了才知道。 🇺🇸 Claude Code Review: Can AI Really Code for You?...
閱讀完整內容

Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 | AI Coding Assistants Compared: Cursor vs GitHub Copilot vs Claude Code

By Kit 小克 | AI Tool Observer | 2026-03-27 🇹🇼 Cursor vs GitHub Copilot vs Claude Code：AI 程式助手大比拼 2026 年，AI 程式助手已經成為開發者的標配。但市場上選擇太多了，到底該用哪一個？我同時使用了 Cursor、GitHub Copilot 和 Claude Code 超過半年，以下是完整比較。 GitHub Copilot：最普及的選擇 Copilot 是最早普及的 AI 程式助手，整合在 VS Code 和各大 IDE 中。它的核心功能是 即時程式碼補全 ——你打字的時候，它自動建議下一行或下一段程式碼。 優點 ：補全速度快、整合度高、支援幾乎所有語言、Copilot Chat 可以問問題 缺點 ：上下文理解有限（主要看當前檔案和少量相關檔案）、Agent 模式仍在發展中 價格 ：個人版 /月，企業版 /月 Cursor：IDE 級別的 AI 整合 Cursor 是一個從頭打造的 AI-first IDE（基於 VS Code fork）。它不只是補全程式碼，而是把 AI 深度融入整個開發流程。 優點 ：Composer 功能可以跨檔案編輯、Agent 模式可以自主執行多步驟任務、支援切換不同 AI 模型、Tab 補全非常智慧 缺點 ：是獨立的 IDE 需要遷移、Pro 方案有使用量限制、偶爾不穩定 價格 ：免費方案有限制、Pro /月 Claude Code：終端機裡的 AI 工程師 Claude Code 走完全不同的路線——它是 CLI 工具，在終端機裡運作，不綁定任何 IDE。 優點 ：理解整個 codebase、可以執行系統指令、支援 git 操作、CLAUDE.md 定義專案規則、最強的 agentic 能力 缺點 ：沒有視覺化介面、按 API token 計費（可能很貴）、需要習慣 CLI 工作流 價格 ：按 API 使用量計費，或透過 Max 訂閱方案 關鍵差異比較 即時補全 ：Copilot ≈ Cursor > Claude Code（無此功能） 跨檔案理解 ：Claude Code > Cursor > Copilot Agentic 能力 ：Claud...
閱讀完整內容