OSS Scanner 开放免费开源安全扫描，报告仍需人工验证

Anthropic 的 OSS Scanner 已经开放给开源项目维护者免费申请，加入后会定期收到由 Claude Mythos 等模型生成的安全扫描报告。报告可能包含复现步骤、漏洞定位信息和补丁建议。这是一项 opt-in 服务，项目方需要主动申请才会被纳入扫描范围。

这些报告完全由模型自动生成，不经过人工审查，因此更适合作为初筛信号，而不是已确认的安全结论。维护者仍需逐项验证每个发现，并自行判断是否需要修复。误报可能出现在报告中，需要结合代码上下文、触发条件和依赖链来评估。

从工程流程看，直接把模型给出的补丁合并进代码库存在风险。即使补丁建议看起来合理，也应走常规代码审查和测试流程；未经审查自动合并可能引入逻辑错误或新的安全问题。团队可以将报告接入 issue 跟踪系统，但需要标注 AI 生成来源，便于后续追溯和复核。

误报会带来筛选成本，维护者可以建立验证与误报反馈机制，持续评估扫描质量。定期报告如果与项目发布节奏不匹配，也可能增加维护负担，建议配置独立的通知或分流策略，不要让扫描结果无差别进入日常迭代。

目前申请加入的具体流程和审核条件、支持的语言与托管平台、扫描频率和报告格式都未披露，误报率与漏报率也没有公开数据。扫描结果是否会被收集或用于模型训练，以及 OSS Scanner 自身的开源许可证和服务条款同样没有说明。接入前，维护者需要根据这些信息缺口评估是否适合当前项目。