OSS Scanner

Anthropic 是一项面向关键开源软件的免费、自愿加入的漏洞扫描服务。它借鉴了 Google OSS-Fuzz 的思路，用 Anthropic 最强模型（包括 Claude Mythos）定期扫描代码，帮助维护者尽早发现安全问题。

OSS Scanner 网站截图

核心特色

• 完全免费：对符合条件的开源项目零成本提供定期深度扫描。
• 报告即出：发现结果直接邮件发给维护者，包含可复现步骤（reproducer）、漏洞说明（尽量附上引入时间点），以及可用的修复补丁建议。报告全部由模型生成，无人工审核，速度更快，但可能存在误报。
• 隔离环境扫描：先在有网络的隔离虚拟机中构建项目，再切换到无外网环境进行审计，安全性高。
• 可选威胁模型：可提供 threat_model.md，告诉模型项目的安全目标、严重程度评判标准、输入边界等，提升报告质量。
• 适用对象：对基础设施和用户安全有关键影响的开源项目（参考 OSS-Fuzz 标准），由核心维护者申请，Anthropic 逐一审核。

它与商业版 Claude Security 不同：后者面向企业，OSS Scanner 专为开源生态设计，目标是让关键项目获得更强的防御优势。

如何“部署”/加入服务

OSS Scanner 不是本地安装的工具，而是通过向官方仓库提交 PR 的方式报名加入。步骤如下：

1. Fork 并准备目录
   在 projects/<项目名>/ 下添加配置。
2. 编写 project.yaml（可从 templates/project.yaml 复制）
   必填项：
   • repo：项目 Git 地址（可加 #分支）
   • primary_contact：接收报告的邮箱（会公开，建议用安全别名）
     可选：auto_ccs、homepage、disabled、PGP 公钥（加密报告）等。
3. 提供 Dockerfile
   作用是完整安装依赖并构建项目，让扫描器能在无网环境中运行测试。推荐放在你自己仓库的 .oss-scanner/Dockerfile，或直接放在本仓库的 projects/<name>/Dockerfile。
4. （强烈建议）添加 threat_model.md
   说明项目安全目标、严重程度分级、范围等。
5. 本地验证（推荐）
   Bash

   # 需要 git、Docker、Python3 + PyYAML
   python tools/validate.py
   tools/check <项目名>          # 构建并进入无网 shell
   tools/check --qemu <项目名>   # 更接近真实扫描环境

6. 提交 PR
   一个 PR 只对应一个项目，填写清单。Anthropic 会确认你是核心维护者后合并。合并后扫描器会自动导入、构建、扫描，并邮件发送结果。可随时通过 PR 修改配置或设置 disabled: true 暂停。