Anthropic 把自家最强的模型用在了开源安全上，而且不收费。
发生了什么
据 The Verge 报道，Anthropic 推出了一项名为 OSS Scanner 的新服务，帮助开源项目排查安全漏洞。官方说法是：选择加入（opt-in）的开源项目将获得「由我们最强模型执行的、彻底的、定期的安全扫描」，且不收取费用。
换句话说，这不是一次性的漏洞赏金，也不是社区众包的代码审查，而是把模型能力直接接入开源项目的安全流程，按周期持续运行。报道同时指出，这项服务存在需要权衡的地方（原文在此处被截断），意味着免费与自动化并非没有代价。
为什么重要
开源软件是现代基础设施的地基，但它的安全维护长期处于结构性失衡状态：大量关键项目由少数维护者用业余时间支撑，既缺人手，也缺专业安全审计的预算。商业安全扫描工具价格不低，而人工审计对绝大多数项目来说更是奢侈品。
与此同时，AI 编程工具的重心正在从「帮你写代码」向「帮你检查代码」迁移。代码生成已经高度同质化，真正稀缺的是可信的验证环节——谁能更早、更准地发现漏洞，谁就掌握了开发者工作流中更靠后的位置。Anthropic 选择从开源切入，是一个聪明的落点：开源项目天然是公开代码库，扫描结果可被社区验证，也最容易形成口碑。
更宏观地看，这也是模型厂商争夺「安全叙事」的一步。当 AI 被质疑会放大安全风险时，主动承担一部分开源安全责任，既是公关，也是生态卡位。
影响与看点
对开源维护者而言，最直接的价值是「更早被提醒」。漏洞从引入到被披露之间的窗口期，往往决定了修复成本的高低。定期扫描如果能把这个窗口缩短，收益是实打实的。
但有几个问题值得持续观察。第一是误报率：安全扫描工具的通病是噪音过多，如果模型给出大量低置信度告警，维护者反而会被淹没，最终选择无视。第二是隐私与信任边界：扫描意味着代码要进入第三方的模型管道，对于涉及敏感逻辑或商业授权的项目，这可能成为不选择加入的理由。第三是责任归属：扫描发现的漏洞，谁来跟进、谁来披露、按什么节奏披露，目前并不清晰。
另一个容易被忽略的点是，这类服务会逐渐塑造「什么样的代码算安全」的标准。当某家厂商的模型成为事实上的扫描器，它的判断偏好就可能渗入整个开源生态的实践。
我的判断是：免费扫描本身是好事，但它的长期价值不取决于模型有多强，而取决于告警是否可信、流程是否透明。开源安全缺的从来不是「发现问题的人」，而是「愿意把问题修完的人」。
