最后更新：10/9/2026最后核验：2026-10-09
OSS Scanner 是什么
OSS Scanner 是 Anthropic 面向符合条件的开源项目推出的一项服务，可提供免费的定期 AI 漏洞扫描。它旨在帮助已验证的维护者通过邮件接收由模型生成的安全发现，条件允许时还会附带复现用例和候选补丁。项目接入需要通过 GitHub pull request 提交项目配置和 Dockerfile。
核心功能
- 为符合条件的关键开源仓库提供免费定期安全扫描
- 向已验证维护者发送模型生成的漏洞报告
- 在条件允许时随报告提供自包含的复现用例
- 在可用时提供候选修复补丁
- 维护者通过 GitHub pull request 完成项目接入
- 基于项目配置和 Dockerfile 的部署与复现环境设置
- 通过邮件交付报告，并可选择启用 OpenPGP 加密
- 维护者可自主暂停扫描或选择退出
最适合
符合条件的关键开源仓库维护者希望增加 AI 辅助漏洞审查能力的开源项目能够提供可复现 Docker 项目环境的团队偏好通过邮件接收漏洞发现的维护者希望安全报告同时附带候选补丁和复现用例的项目
定价
OSS Scanner 官方描述为对符合条件的开源项目免费开放。其使用权限似乎取决于项目资格和维护者接入流程，而不是公开的付费订阅方案。
优缺点
优点
- 对符合条件的开源项目免费
- 专为关键开源仓库的安全扫描场景设计
- 报告可能包含复现用例，便于维护者验证漏洞发现
- 候选补丁有助于缩短漏洞排查和修复评估时间
- 可选 OpenPGP 加密，提升邮件报告交付的隐私性
- 维护者可以暂停扫描或选择退出
缺点
- 可用范围仅限符合条件的开源项目
- 漏洞发现由模型生成，仍需要维护者人工验证
- 候选补丁仅在可用时提供
- 接入需要提交 GitHub pull request，并完成项目配置工作
- 并非定位为通用商业代码扫描平台
替代工具
GitHub Copilot Autofix
在 GitHub code scanning 工作流中提供 AI 辅助的安全修复建议。
Snyk
面向开发者提供开源依赖、容器和代码的漏洞扫描与修复指导。
CodeQL
常用于开源和私有仓库漏洞发现的语义代码分析引擎。
Semgrep
提供安全与代码质量静态分析，规则可覆盖多种编程语言。
SonarQube
在开发流程中分析代码缺陷、漏洞和可维护性问题。
常见问题
广告
详情
平台
网页版
功能特性
- Free periodic security scans for eligible critical open-source repositories
- Model-generated vulnerability reports with self-contained reproducers and candidate patches when available
- Maintainer enrollment through a GitHub pull request with project configuration and a Dockerfile
- Email delivery, optional OpenPGP encryption, and maintainer-controlled pause or opt-out
支持语言
en
已知限制
- Enrollment is limited to established open-source projects with a critical infrastructure or user-security impact; Anthropic reviews eligibility and verifies core maintainers
- Reports are fully model-generated without human review and can contain incorrect findings or inflated severity ratings
- Maintainers must supply project configuration and a Dockerfile that builds the project and installs dependencies before an offline audit
- Scan frequency varies with pipeline load and other factors; reports are delivered by email rather than an on-demand IDE workflow
