OSS Scanner by Anthropic

三点较有分量：一是把 AI 漏洞发现从“扫描告警”推进到“可复现 + 原理说明 + 候选补丁”的完整交付物，接近一个虚拟安全研究员的工作流，而非传统 SAST 的规则匹配；二是流程设计上模仿 Google OSS-Fuzz 的“维护者主动申请（opt-in）”模式，绕开了未经授权扫描第三方代码的伦理与法律灰区，也降低了误报对维护者的骚扰；三是自我披露 88%（85/97）的高危发现达到披露标准，并坦承报告无人工复核、可能出错，这种透明度在安全产品里少见。短板在于，自动化代码审计并非新概念——商业化方向上有 GitHub CodeQL、Semgrep、Snyk Code，前沿实验室方向上有 Google Big Sleep、DeepMind 的类似尝试，OSS Scanner 的方法论壁垒主要来自模型能力而非流程创新。另外文案中提到的具体模型名称缺乏公开可验证信息，产品页本身的成熟度（Product Hunt 仅 3 票、1 条评论）与宣传口径之间存在明显落差。