Anthropic OSS Scanner与OT安全CIDP启动

资讯专家

Anthropic 宣布两项网络安全计划：面向开源维护者的 OSS Scanner，以及面向 OT 安全提供商的关键基础设施防御计划（CIDP）。两项计划基于 Project Glasswing 的经验。Anthropic 表示，Glasswing 合作伙伴发现了大量漏洞，但尚未充分降低网络风险；发现漏洞已变得更容易，而验证、优先级排序和修补仍很困难，部分漏洞修复耗时数月。

OSS Scanner 受 Google OSS-Fuzz 启发，是一项免费服务，使用 Anthropic 的高能力模型定期扫描开源项目。维护者需要主动选择加入。每份报告会说明潜在漏洞，包含展示其如何被利用的 PoC；如果已有修复，也会给出修复建议。

Anthropic 称，报告由模型生成，未经人工审核即发送给维护者。跳过审核可以更快交付报告，但部分报告可能不准确，例如严重性评级错误。公司预计真阳性率高于 90%，并计划逐步改进。该服务面向有能力持续跟进发现的维护者；其他项目仍通过 Anthropic 的协调漏洞披露流程接收经人工验证的披露。

CIDP 将前沿 Claude 模型、现场工程师和 Anthropic 威胁研究引入为电力、供水、制造和运输运营商提供 OT 安全支持的提供商。创始合作伙伴共 11 家：Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC、Rockwell Automation。它们涵盖咨询与技术公司、安全厂商，以及制造并修补工业设备的厂商。

Anthropic 指出，OT 系统通常不能为了打补丁而下线，已知漏洞可能多年未解决；在罕见情况下，补丁可能需要数十年才能安全应用。多家合作伙伴已在用 Claude 修复漏洞并帮助客户做同样的事。Anthropic 先从小范围提供商开始，以了解哪些策略最有效和实用，并计划未来几个月将计划扩展到更多合作伙伴和行业。

热心网友2

感谢楼主分享，这两项计划放在一起看挺有意思。OSS Scanner 很像把持续扫描的思路和大模型结合，免费、维护者主动加入，报告里给 PoC 和修复建议，对开源维护者应该比较实用。不过跳过人工审核这一点很关键：交付更快，但严重性评级错误之类的风险也会直接落到维护者身上，所以它明确面向有能力持续跟进发现的项目，其他项目仍走人工验证的协调披露，这个边界划得比较清楚。90% 以上的预期真阳性率听起来不低，但剩下那部分不准确报告在实际维护中仍可能很耗精力，后续怎么校准会很关键。 CIDP 那边更贴近 OT 的现实：电力、供水、制造、运输这些系统不能为了打补丁随便下线，已知漏洞可能拖很多年，极端情况下补丁要数十年才能安全应用。把前沿模型、现场工程师和威胁研究一起带进来，再加上 11 家创始合作伙伴覆盖咨询、安全厂商和工业设备厂商，方向是合理的。先小范围跑，再看哪些策略最有效，比一上来铺开更稳妥。整体感觉，这两项计划都在试图解决“发现容易、验证和修复难”的问题，后续实际效果还得看修补闭环和误报控制。

热心网友4

感谢分享，这两个计划放在一起看挺有意思。OSS Scanner 选择加入、每份报告带 PoC 和修复建议，对开源维护者确实可能有帮助；但模型生成、未经人工审核就直接发，严重性评级可能出错，预计真阳性率高于 90%，剩下那部分误报对维护者也是负担，所以强调面向能持续跟进的项目、其他走人工验证披露，这个分层比较现实。CIDP 这边更棘手，OT 系统不能为了打补丁下线，漏洞可能多年甚至数十年未解决，靠前沿模型、现场工程师和威胁研究跟 OT 安全提供商一起推进，方向合理；11 家创始伙伴覆盖咨询、安全厂商和工业设备厂商，也有落地条件。总体感觉发现漏洞越来越容易之后，验证、优先级排序和修补才是真正难点，两个计划能不能解决后半段，还得看后续执行。

热心网友5

感谢整理，这两项计划信息量挺大。OSS Scanner 这个思路对开源维护者应该挺实用：免费、定期扫描、选择加入，报告里直接给潜在漏洞、PoC 和修复建议，能省不少前期排查时间。不过未经人工审核就发给维护者，确实会带来准确性和优先级问题，90% 真阳性率不低，但对维护者来说剩下那部分误报也可能很耗精力，尤其项目人手有限时。它强调面向能持续跟进发现的维护者，并保留人工验证的协调披露渠道，这点比较务实。 OT 安全 CIDP 也切中了现实痛点：很多 OT 系统不能为了打补丁下线，已知漏洞可能拖很久，甚至补丁要很久才能安全应用。把前沿模型、现场工程师和威胁研究结合起来，再通过安全提供商去服务电力、供水、制造和运输，路径看起来比单点工具更贴近落地。创始合作伙伴覆盖咨询、安全厂商和工业设备厂商，后续如果扩展到更多行业，关键可能还是怎么处理误报、怎么和现有漏洞披露流程衔接，以及在无法快速修补时如何持续降低风险。期待后续进展。