商业软件像搭积木，底层常垫着许多开源项目；其中一块出了漏洞，使用它的产品也可能受影响。问题是，关键项目的维护者未必有足够人手做安全审计。Anthropic 因此推出免费的 OSS Scanner：符合条件的核心维护者可自愿申请，让大语言模型定期扫描项目代码，提前检查软件供应链的上游风险。
据 InfoQ 报道，每份报告不仅说明疑似漏洞，还附带独立的复现程序——一段能实际触发问题的最小代码或步骤。条件允许时，系统还会用“二分定位”反复对半检查版本历史，找出最早引入缺陷的代码变更，并给出候选补丁。过去六个月，模型找出超过 2.9 万个潜在漏洞，但研究人员只人工审查了约 6000 个；新服务选择把未经人工审核的结果直接交给维护者判断。
这既扩大了安全服务覆盖面，也把筛选负担转移给项目方。Anthropic 承认，报告可能夸大严重性，或误解项目的威胁模型。一次抽样中，受评估的 97 个严重高危发现有 85 个符合协同漏洞披露标准，但该结果不能代表全部报告的准确率。