Anthropic推出了OSS Scanner，這是一款面向關鍵開源專案的免費、需主動報名的漏洞掃描工具。它會用公司最強的模型（包括Claude Mythos）對已登記專案的程式碼庫進行審計，並把報告直接傳送給維護者，中間沒有人工稽核環節。這種設計帶來更快的發現速度，但也把問題分流的負擔轉移到了專案團隊身上。
Anthropic表示，在10月8日上線後的11天裡，該工具報告了77個嚴重和803個高危的模型級發現。截至10月19日，約650份申請中有114個專案被接納。掃描全部在Anthropic自己的基礎設施上免費執行：維護者提供Dockerfile，審計在一個沒有網路連線的隔離虛擬機器中完成。
在準確性方面，Anthropic讓滲透測試人員對48個專案中的97個嚴重和高危發現進行了複核。其中85個（88%）達到了公司協調漏洞披露（CVD）流程的標準；11個是真實問題但與其他已知問題或掃描發現重複；只有1個是無效的。維護者的反饋也指向類似結論：wolfSSL共收到74份報告，除2份外均有效，其中5個成為CVE。curl則修復了高危的HTTP/2上傳釋放後使用漏洞CVE-2026-92392，該漏洞影響curl 8.12.0至8.22.0，已在2026年10月14日釋出的8.23.0中修復。
OSS Scanner由Anthropic的前沿紅隊和安全保障研究團隊共同運營，設計思路借鑑了Google的OSS-Fuzz，但用語言模型取代了模糊測試器。其核心目標是緩解人工稽核的瓶頸：過去6個月裡，Anthropic的模型發現了超過2.9萬個候選漏洞，人工稽核者只分流了約6000個，還有近5000份報告直接發給了要求全部收到的維護者，無論是否經過驗證。OSS Scanner把這種臨時性的請求變成了一個正式的自願參與計劃。
登記流程是核心維護者在anthropics/oss-scanner倉庫提交一個PR，按模板新增projects/<project>.yaml檔案，其中必需欄位包括倉庫地址、主要聯絡人和Dockerfile路徑，可選欄位包括威脅模型、用於加密報告的PGP金鑰、自動抄送人、主頁以及停用開關。Dockerfile在有網路的階段構建專案，隨後虛擬機器切換到無網路環境進行審計。流水線中的智慧體會複核缺陷、執行根因分析並提出補丁建議。每份報告都包含可獨立復現的復現器和缺陷說明，在可能的情況下還會定位引入問題的提交，並附帶候選補丁。可選的threat_model.md可用於定義對抗性輸入、範圍外程式碼和嚴重性評級標準；若沒有該檔案，掃描器只能自行推測。
與其他開源安全專案相比，OSS Scanner的差異在於完全由LLM代理審計原始碼、對維護者零成本，且報告在實際交付前沒有人工複核。Google OSS-Fuzz依靠模糊測試和sanitizer，累計發現1.3萬多個漏洞；OpenAI的Codex for OSS讓獲批維護者執行Codex安全代理；DeepMind的CodeMender則用Gemini Deep Think發現並修補缺陷，並會對每個補丁進行審查。值得注意的是，OSS Scanner對未經驗證的發現沒有設定披露期限，而OSS-Fuzz規定為90天或修復釋出加14天寬限。
Anthropic將這一進展與基準測試的提升聯絡起來：在CyberGym上，LLM發現漏洞的比例從不足20%提升到超過85%。截至10月2日，其更廣泛的CVD看板列出了591個專案中的6157個已披露漏洞，其中516個已完成修補。