基金会规模下的安全扫描
内容提要
2026年8月，Apache软件基金会与Anthropic的Project Glasswing合作，对230个仓库进行了AI安全扫描。扫描基于项目威胁模型，减少了误报并附有补丁。结果通过官方渠道披露，修复正在进行中。未来计划实现增量扫描和自助服务，以应对AI漏洞报告激增的问题。
延伸解读
威胁模型如何减少误报
扫描前，75个项目管理委员会（PMC）为超过180个仓库编写了威胁模型，明确安全边界、信任假设和范围。ASF安全团队审查每个模型，确保其准确反映代码。结果，基于威胁模型的扫描成本降低约五分之一，且误报率低。这得益于模型让分析聚焦于关键部分，避免重复已知设计决策，从而提升报告质量。
AI漏洞报告激增的应对策略
文章指出，AI生成的漏洞报告数量激增，但质量参差不齐，消耗维护者大量精力。ASF的应对是主动运行扫描，而非被动接收外部报告。通过基金会统一扫描，结合威胁模型和官方披露流程，确保报告有上下文、可操作，并优先排序，减轻项目负担。
扫描管道的灵活设计
ASF Tooling开发的审计管道采用三层模型：轻量级过滤、中等构建清单、重量级分析。模型选择可配置，支持Anthropic的Opus/Sonnet/Haiku或自托管Mythos/Gemma/Qwen组合。这种设计允许在质量、速度和成本间平衡，且管道自动化，项目可通过浏览器或API自助运行扫描。
未来规划：增量扫描与自助服务
ASF计划三项增强：增量扫描（避免重复扫描）、扩展扫描类型（如OWASP规范）、以及自助服务功能（项目可自行选择扫描并管理令牌预算）。这些改进旨在应对AI漏洞报告增长，使扫描更高效、可扩展，并让项目自主控制安全分析。
Q&A
Apache软件基金会在2026年8月进行了什么安全扫描？
Apache软件基金会（ASF）在2026年8月与Anthropic的Project Glasswing合作，对230个仓库进行了AI安全扫描，使用Claude Mythos 5模型，基于项目的威胁模型进行，以减少误报并提供补丁。
为什么Apache软件基金会决定自己运行AI安全扫描？
因为AI生成的漏洞报告数量激增，且质量参差不齐，维护者难以分辨。ASF决定自己运行扫描，以便在项目上下文中进行，确保输出有价值，并减少维护者的负担。
ASF Tooling的自动化审计管道是如何工作的？
ASF Tooling的自动化审计管道基于OWASP ASVS标准，运行在Gofannon代理平台上。它采用三层模型：轻量级层用于高容量过滤，中量级层构建代码清单，重量级层进行深度分析。模型和参数可配置，支持不同模型组合，并能通过浏览器或API自动运行。
威胁建模在扫描中起到了什么作用？
威胁建模帮助项目定义安全姿态、边界和假设，使扫描聚焦于重要部分，减少了约五分之一的扫描成本，并降低了误报率，使结果更相关。
扫描结果是如何披露和处理的？
扫描结果通过ASF官方披露路径处理，敏感发现先发送给受影响项目的安全或私有列表，由PMC评估并自行修复。报告按维护者处理优先级排序，而非仅按严重性标签。
ASF计划如何改进未来的扫描？
ASF计划实现增量扫描（避免重复扫描）、增加其他扫描类型（如OWASP规范）、并最终提供自助服务扫描，让项目自行选择扫描并管理令牌预算。
