A社推出免费的开源项目扫描器 为符合条件的开源项目免费提供定期漏洞扫描
内容提要
A社推出免费开源项目扫描器OSS Scanner，利用先进模型定期扫描漏洞。核心维护者可申请，项目需对基础设施或用户安全有重要影响。获批后自动扫描并发送报告及修复方案，无人工审核。早期测试中88%高危漏洞报告达标，但报告可能出错，需开发者自行评估。
延伸解读
自动化扫描的利与弊
OSS Scanner 从扫描到生成报告和修复方案全程由 AI 模型自动完成，无人工审核。这能更快、更频繁地提供漏洞信息，但报告可能出错，如严重性评级偏高或误解项目威胁模型。开发者需自行评估漏洞，不能完全依赖报告。
早期测试的准确性参考
在早期测试中，安全研究员评估了 48 个项目的 97 项高危及严重漏洞报告，其中 85 项（88%）达到协调漏洞披露标准。其余 12 项中，11 项是真实问题但重复，1 项无效。这些结果来自 A 社公布的样本，不保证后续报告同等准确。
披露流程的差异
未经人工确认的报告不会被公开，也不适用强制的 90 天披露期限。对于重大项目的安全问题，若漏洞经过 A 社人工审核，则会按现有协调漏洞披露流程处理。这与 OSS Scanner 的自动化报告不同，开发者需注意披露方式的区别。
Q&A
OSS Scanner是什么？它提供什么服务？
OSS Scanner是A社推出的免费开源项目扫描器，为符合条件的开源项目提供免费的、定期的漏洞扫描支持，使用先进模型如Claude Mythos等扫描漏洞，并向开发者发送漏洞报告和候选修复方案。
开源项目如何申请OSS Scanner的免费扫描？需要满足什么条件？
项目核心维护者需要通过A社的GitHub仓库提交申请，项目需对基础设施或用户安全具有重要影响。提交后A社工程师会评估项目是否符合要求，如符合会通知开发者进行后续准备工作。
OSS Scanner的扫描报告是人工审核的吗？报告会包含哪些内容？
整个过程自动化，不会经过任何人工审核和确认。报告由AI模型直接生成，包含详细的漏洞说明、复现材料以及在可用时提供候选修复方案。无论是否发现漏洞都会发送扫描报告。
OSS Scanner的漏洞报告准确性如何？早期测试结果怎样？
早期测试中，A社邀请安全研究员评估来自48个项目的97项高危及严重漏洞报告，其中85项（88%）达到协调漏洞披露流程的标准。其余12项中11项是真实问题但与已知漏洞重复，1项被判定无效。
使用OSS Scanner的AI生成报告有哪些风险或局限性？
模型生成的报告可能包含错误，严重性评级可能偏高，或者未能准确理解项目的威胁模型，因此最终还需要项目开发者自行评估漏洞。
OSS Scanner发现的漏洞会被公开吗？是否适用90天披露期限？
未经人工确认的报告不会被公开，也不适用于强制的90天披露期限。对于重大项目的安全问题，若漏洞经过A社人工审核，A社会按照现有流程进行披露。
