企业官网建设流程全解析

10 月 8 日，Anthropic 公布了一项名为 Cyber Mission 的长期计划。但比"计划"本身更值得注意的是一组数字：过去六个月里，该公司的模型在开源代码中标出超过 29000 个候选漏洞，其中约 6000 个经过人工复核分类，另有近 5000 份未经核实的报告，按维护者本人要求直接送达。

这些数字来自新上线的 OSS Scanner。它是一项免费、自愿报名的服务，灵感取自 Google 的 OSS-Fuzz，用 Anthropic 最强的模型（包括 Claude Mythos）定期为登记的开源项目做安全扫描。每份报告包含可独立复现的复现样本或概念验证、尽可能带二分定位的解释，以及可用时附上的候选补丁。关键之处在于：报告完全由模型生成、不经人工审核就发出。Anthropic 承认这能加快交付，但部分报告会出错，例如严重性评级偏差，并预期真实阳性率高于 90%。

为验证早期版本，Anthropic 让负责审核其漏洞披露的外部渗透测试专家复核了 48 个项目中的 97 个严重与高危级扫描结果：85 个（88%）达到其披露流程标准，其余中有 11 个属实但与已知问题重复，1 个为误报。

维护者的反馈被写进官方博客。wolfSSL 的 Todd Ouska 说：“我们收到的 74 份报告里，除两份外全部有效，其中 5 份成为了 CVE。” PostgreSQL 的 Noah Misch 称，扫描结果中触及 PostgreSQL 缺陷的比例异常高，且多份报告自带几乎可直接采用的修复；OpenSSL 公司的 Anton Arapov 表示，他们收到的报告（包括模型的原始输出）质量不逊于甚至优于人工提交；HotCRP 的 Eddie Kohler 则称这些漏洞报告详尽清晰。

项目核心维护者通过向 Anthropic 的 oss-scanner GitHub 仓库提交 pull request 报名，资格标准与 OSS-Fuzz 类似，考量对基础设施和用户安全的关键影响，逐案判定。Anthropic 强调 OSS Scanner 与面向企业的一般代码扫描修补产品 Claude Security 不同；没有人力分类漏洞的项目仍会通过人工核实的协同披露流程收到通知。维护者还可申请 Claude for Open Source，获得免费的 Claude Max 订阅。

计划的另一半是 Critical Infrastructure Defense Program。它向守护运营技术（OT）的可信提供商提供前沿 Claude 模型、驻场工程师和 Anthropic 的威胁研究，首批聚焦电网、供水系统、交通网络以及政府系统。11 家创始伙伴为埃森哲、Booz Allen、CrowdStrike、德勤、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、普华永道和罗克韦尔自动化。

Anthropic 点出的痛点很现实：电网、水厂、工厂和交通网络跑的是能用几十年的控制器、控制软件和工业网络，往往无法停机打补丁，已知漏洞可能多年不修；设备是专有的，改动有风险，一次失误就可能让整个厂子停摆。这也是运营商只能依赖少数可信供应商的原因。公司同时承认，关键基础设施在很多方面是 AI 无法修复的难题。

这并非从零开始。6 月，Anthropic 已为美国州、地方、部落和领地政府推出网络安全防御计划，此后向全美过半数州以及一些最大的公共关键基础设施运营商提供了前沿 Claude 模型与技术支持，加速代码扫描、打补丁、事件响应和红队演练。4 月 7 日启动的 Project Glasswing 则联合了亚马逊云科技、苹果、博通、思科、CrowdStrike、谷歌、摩根大通、Linux 基金会、微软、英伟达和 Palo Alto Networks，承诺提供最高 1 亿美元（约 7.15 亿元人民币）的 Claude Mythos Preview 使用额度与 400 万美元（约 2860 万元人民币）直接捐赠，其中已通过 Linux 基金会向 Alpha-Omega 和 OpenSSF 捐出 250 万美元（约 1790 万元人民币），向 Apache 软件基金会捐出 150 万美元（约 1070 万元人民币）。10 月 6 日，Anthropic 将 Cyber Verification Program 扩展为三档访问层级，Glasswing 被并入其中，原成员转入 Specialized Access 档。

Anthropic 还资助了 Python 软件基金会，并支持 Akrites 与 Gold Eagle 这类汇集、协调多方漏洞报告以免维护者被淹没的项目；8 月成立的 Defender Advantage Fund 为这些试点提供资金，并维持 OSS Scanner 免费。

公司的预测是：两年内 AI 将在攻防中偏向防守一方，让漏洞在上线前被拦下、让系统能被模型主动防护——但它也提醒，短期内未必如此。在 Glasswing 中，它常看到漏洞从被发现到被修复要拖上数月；而在 OT 场景，一次修复在极少数情况下需要数十年才能安全落地。