文 | 穷奇观察

2026 年 10 月 8 日，Anthropic 一天之内推出两项“免费”安排。

第一项叫“关键基础设施防御计划”（Critical Infrastructure Defense Program，CIDP）。前沿 Claude 模型、驻场工程师和威胁研究，交给 11 家创始伙伴：埃森哲、博思艾伦、CrowdStrike、德勤、Dragos、日立、Insane Cyber、Nozomi Networks、Palo Alto Networks、普华永道、罗克韦尔自动化。

这些伙伴服务的对象，是电网、水务、交通网络，以及政府系统背后的运营技术（OT）。

第二项叫 OSS Scanner。免费、自愿接入，用 Anthropic 最强的模型（包括 Claude Mythos）给开源项目做定期安全扫描。

两项归在同一个名字底下：Anthropic Cyber Mission。

把这两件事并排放，有一处别扭：一家卖模型的公司，同时来当开源世界的审计者、关键基础设施的守门人，以及“什么算漏洞”的裁定者。

这篇文章不判它想不想作恶。只判一件事：这几个身份叠在同一家公司身上，结构上哪里不对。

四个身份，一个实体

先数身份。

第一，模型的卖方。Claude 是产品；Claude Security 是同期在售的付费企业版，扫描并建议补丁，按企业客户收费。第二，开源世界的审计者：OSS Scanner 找出漏洞、写报告、发给维护者。第三，关键基础设施的守门人：CIDP 把模型和工程师派进保护电网、水务的乙方。

OT 这层再加一条：工控系统的生命周期以十年计，设备不联网、补丁不敢打是常态。Anthropic 自己向 VentureBeat 描述这个领域时也说，OT 系统的修复，罕见情况下要等数十年。一个模型一旦写进电厂的运维流程，它的驻场周期会和设备一样长。这不是手机 App 的依赖，是基础设施的依赖。

第四，“什么算漏洞”的裁定参与者。准入沿用 Google OSS-Fuzz 的口径——“对基础设施和用户安全有重要影响”，个案审批；严重到什么程度值得披露，也由它的 CVD 流程划门槛。换言之，哪扇门能进、进门以后算多严重，都是它家说了算。

四个身份，一个实体。

审计这门生意，成不成立从来不在“诚不诚实”，在“独不独立”。会计师事务所去审计自家开的店，报告再漂亮，也没人接。不是不信那个会计师，是不信那个结构：当“发现问题的”和“被问题牵动的”是同一双手，独立就没了。

审计行业为这个结构付过学费。安然事件里，安达信既做审计又做咨询，利益缠在一起，结果是公司破产、百年招牌扫地。之后美国立法强制审计独立，把审计和咨询拆开。规则不针对哪家公司，针对的就是结构本身。

这里要分清两笔账。Anthropic 的动机，本文不碰，也无从核实。但结构不看动机：四个身份叠一个人身上，就是单点。它善不善良，和它是不是单点，是两件事。

单点的代价不在今天，在以后的每一天。扫描器一旦成为项目的常规流程，中断就是事故：它调整节奏、收紧范围、改变分发方式，甚至哪天不再免费，接入方都没有第二选项。这不是预言，是单点的定义——所有鸡蛋在同一个篮子里，篮子的任何动作，都是全家的动作。

它扫出来的是什么：一张有主的地图

先看 OSS Scanner 交的货。

报告里装三样东西：一段自包含的复现程序（reproducer），一段漏洞解释——包括用二分法定位这个 bug 是哪次提交引入的——以及“有则附上”的候选补丁。

这份报告，本质是一张地图：哪里没打补丁，怎么打进去。

数字摊开看规模。过去六个月，模型在重要开源项目里找出超过 29,000 个候选漏洞，人工只复核了约 6,000 个。另有维护者回信说“你们全给我”，于是近 5,000 份未经核实的报告，连同候选补丁，直接发了出去。把这堆数摊到每一天：六个月约一百八十天，29,000 个候选，平均一天抖出一百六十多份——不是每天十几份，是每天一仓库报告往维护者邮箱里倒。

同一件事的另一面：人工披露那条路，账本记到 2026 年 10 月 2 日，经人工核实后披露 6,157 项、落在 591 个项目、其中 516 项已修补——这是 CVD 台账的口径。同期对外发布的 advisories 为 584 份，Anthropic CVD 仪表盘统计至 10 月 2 日。

注意这是两个口径：一项发现可以并入一份 advisory。真正要紧的不是数字本身，是账本的形状——29,000+ 的总盘子里，走完人工这道闸的，不到两成。

更要紧的一条写在 GitHub 仓库首页：这批快速通道的发现，不设 90 天披露期，也不会公开。

这句话的意思是：全世界未修补弱点最完整的库存，私有化躺在一家公司的服务器里。哪里破了、怎么破，Anthropic 知道，维护者知道，公众不知道。哪一批走人工披露、哪一批直发维护者、哪一批永远不公开，由一家公司决定。

这个结构不是没见过。美国国家安全局（NSA）囤积 0day 漏洞，是安全行业的旧闻。2016 年起，”影子经纪人”开始泄露美国国安局的攻击工具库；2017 年 4 月泄露的 EternalBlue 转手成了 WannaCry 勒索软件的引擎。那次事件给出的教训，行业里人人会背：私藏的漏洞库存，不管持有者初衷如何，迟早变成所有人的风险。

区别在于，美国安局（NSA）的库存至少在敌我框架里，有对手互相盯着。一家公司的库存，盯着它的只有它自己的审计委员会——如果有的话。

披露规范的另一面也值得一说。负责任披露这套规矩，行业磨了三十年：从 1990 年代 CERT/CC 的协调流程，到 Google Project Zero 把 90 天定为默认期限，方向始终一致——发现者和持有者之外，要有一个公众视角的计时器。

Anthropic 的快速通道把这个计时器拆了：未经核实的发现不公开、不计时，公众视角整体缺席。规范退回只有买卖双方在场的年代。

公允也摆在这里：首批接入的是 PostgreSQL、OpenSSL、curl、wolfSSL 这类承重的项目，维护者证言在官方研究页上挂着，能力是真的，价值是真的。这篇文章质疑的不是能力，是能力背后的权属。

有个细节让这张地图更值钱。Anthropic 自己公布的抽验：97 个高危/严重漏洞，85 个（88%）达到它的披露标准，11 个真实但重复，纯误报只有 1 个。准确率越高，地图越准；地图越准，握有地图的人越不可替代。这不是“报告可能是错的所以危险”，而是“报告越对，这份私有库存威力越大”。

Anthropic 自己也把能力的对称性摆到了台面上。官方博客的标题就写着：漏洞利用的成本在降。博客里 CrowdStrike CTO Elia Zaitsev 的引言说得更直白——过去要花几个月的事，AI 几分钟就能干完。同一代模型，找洞和打洞是同一双手。扫描器把找洞能力免费派发，打洞能力可没停售。

地图本身是双用的。发现漏洞这项能力，防守方线性受益，攻击方也线性受益，而且攻击方不必公开自己的地图。这不是说 Anthropic 会拿它去攻；是说地图一旦存在，它就在那儿了，收不回来。

那近 5,000 份批发出去的报告，同样没有公开登记。谁收到了、报告了什么、修没修，外界无账可查。

还有一面少有人提：功劳簿也是无主的。今年 4 月，第三方安全公司 VulnCheck 就核对过：75 条提及 Anthropic 的 CVE 记录里，只有 1 条明确归属 Glasswing。发现可以被私下送达，归属可以被悄悄省略——地图有主的另一面，是账也可以不做。

谁在读：审核会漂

OSS Scanner 最扎眼的一条，是它明说自己不经人工审核。报告由模型生成，发到维护者手上之前，不经过人审。这一点，Axios 的报道和仓库首页写得一样直白。

问题不在“AI 会出错”。问题在读报告的人，会累。

这个群体有多大？小到超出圈外人想象。curl 的作者 Daniel Stenberg 一个人维护着全球数以十亿计设备里的传输组件；OpenSSL 在 Heartbleed 事件后被曝光：如此关键的加密库，当年长期只有一到两名全职维护者，项目每年收到的捐款以千美元计（据当时公开报道）。

后来整个行业补的课，是各基金会出钱出人——那是在漏洞先曝光、再补救的被动序列里完成的。现在换了个序列：报告先到，钱和审核没跟上。

开源维护者缺人、缺钱、缺时间，是长期状态。免费的全自动扫描加修复，对他们是刚需。刚需用久了，动作会变形：从“逐个核对”滑向“批量通过”。这不是谁变坏了，是疲劳。一份报告看十分钟能挑刺，看一百份就只会点“合入”。

疲劳的证据已经量化。Trail of Bits 与 OpenAI 合作的项目叫 Patch the Planet，让工程师下场替维护者写补丁——有资金、有工程师、有模型的三重加持，截至 10 月 13 日，1,137 个已确认发现里仍有 76% 卡在”等待补丁”，只有 13% 走完合入。连专业团队替他们写，七成多都还没修上——瓶颈从来不在”想不想修”，在”修得动修不动”。人肉修复的速度还在周和月。

发现的产能和修复的产能，本就不是一个量级。人工核对一份带 exploit 的报告要几个小时；一周涌入一百份，就是一个维护者两个月的工时。瓶颈从“找”挪到了“验”，而验这个环节恰恰是 AI 最进不去的——它需要项目上下文、工程判断，还需要有人对最终用户负责。

噪音的证据也到了。Google 在 10 月 1 日暂停了开源漏洞赏金里的“产品漏洞”申报，官方理由是“自动提交激增，其中绝大多数不是有效报告”，恢复安排的更新，要等到 2027 年一季度——这是 Google VRP 声明里的口径。维护者的收件箱，正在被 AI 报告淹没，有效的和无效的一起。

提交洪峰的背后，是各家 AI 代码工具的产能外溢。造工具的人，自己的收件箱先被冲垮了——这就是生态吸收能力的现状。

Anthropic 自己也不藏“预期”和“实测”的差距：公司预期真阳性率超过 90%；早期用 97 个高危/严重漏洞在 48 个项目上抽验，85 个达到披露标准。注意，“超过 90%”是预期值，不是逐项目实测。维护者的反馈里，已经有人反映严重性评级虚高、误解项目威胁模型。

要公正地说一句：审核漂移不全是维护者的惰怠，恰恰因为报告质量够高。OpenSSL 的 Anton Arapov 说得很直白：Anthropic 的报告”和人工的一样好，有时更好”。报告附带自包含的复现程序（reproducer），工程师可据此验证——这是 Anthropic 报告的通用格式。质量越好，核对越像走过场；走过场越普遍，写报告那双眼睛的权重就越高。这是一个自我加固的环。

到这一步，开源赖以为生的机制就换了芯。开源安全的底子，从来是“很多双眼睛一起看”。当扫描和修复都来自同一个模型，这双眼睛就只剩一双，而且是写报告的那一双。被外包掉的不是劳动，是判断权，和信任的锚点。

还没发生的那一站

写到这里踩一脚刹车，划清哪是已发生、哪是没发生。

报告里已经有候选补丁。但截至核查日，没有公开证据显示 OSS Scanner 会自动提交 PR，更谈不上自动合并。通道修到哪一步，是两回事。

所以这一节只能这么写：路径已经备好，还差一次合并。

参照系不是虚构的。2024 年的 XZ Utils 后门，是同一套剧本的人工版：攻击者花两年混进维护者信任圈，再在压缩库里埋后门。人工版要两年、只打一个项目；如果“扫描加补丁”这条路走到自动合入，规模不是加法，是乘法。

有人会说自动提交 PR 是常态：GitHub Copilot 的编码代理、Devin 这类工具，本来就会自己开 PR。没错——但那些工具写功能代码，审查者带着功能预期去读；安全补丁不同，它进的是系统的承重墙，审阅者的警惕被“修漏洞”三个字天然卸掉。同一个 merge 按钮，按下去的信任成本不一样。

那起案子里，攻击者的武器不是代码，是信任。Jia Tan 花两年时间一步步混成维护者，信任攒够了，后门才进得去。信任是最慢的资产，也是最容易被偷的资产。

这一段是推断，标注在此：不是既遂，是“若往下一步”。

算总账：四笔账，外加一层产业链

“免费”二字，得算四笔账。

谁造：Anthropic。模型、扫描器、报告。 谁卖：免费。 谁买单：维护者、关键基础设施运营方、纳税人。维护者买“核对报告的时间”，运营方买“对单一供应商的依赖”，纳税人买“公共系统安全的隐性成本”。 谁分钱：依赖、标准、训练数据、生态位。

四笔账里，第一联就露了缺口。Axios 在报道里点了一句：Anthropic 没有说明创始伙伴是否免费获得模型访问，也没说算力成本由谁承担（SiliconANGLE 转述 Axios，2026-10-08）。“账单开给谁”，连第一联都还没填。

已填的部分，也值得细看对价结构。

Project Glasswing 阶段（2026 年 4 月），Anthropic 承诺 1 亿美元 Claude 额度，外加约 400 万美元现金捐赠——250 万给 Alpha-Omega 和 OpenSSF，150 万给 Apache 软件基金会。

到了 8 月，又设“Defender Advantage Fund”（0xDAF）：3,500 万美元，以 Claude credits 形式投放，不是现金。

两笔账并排，意思就清楚了：它付的主要是自家产品的额度。额度的边际成本是算力，算力它自己有。收回来的，是开源安全的生态位：项目靠它扫，标准靠它定，维护者拿它的额度修它报告的洞。这个闭环里，现金流出去得很少，关系沉淀得很多。

还有一笔账问不出口：跨项目的漏洞报告和复现脚本，是否回流模型训练？官方表述是“根据维护者反馈持续改进系统”；据 ET CISO 报道，该服务或适用 Anthropic 消费者条款——按该条款，输入与输出可用于模型训练（报道措辞为“reportedly”，条款原文待核）。如果进，这是全世界最稀缺的网络安全语料；如果不进，“持续改进系统”这句话就是答案本身。

四项进项里，标准的隐形程度最高。报告格式、严重度口径、补丁风格，正在变成开源安全流程的默认设置。默认设置一旦形成，不需要任何强制，后来者只能照着它的规矩进场。

再往下一层，是产业链。开源软件是所有软件的供应链底层：电网的调度系统、水务的监控网络、银行的支付管道，地基里全是开源组件。扫描器卡住的不是某个项目，是整条供应链的最上游——上游的漏洞判断权私有化，下游所有行业共享这个单点。

看 CIDP 这 11 家的成色：Dragos、Nozomi、Rockwell 是工控安全的在位者，手里攥着电厂水厂的准入资质和驻场合同；埃森哲、德勤、普华永道是政企市场的总包商。Anthropic 没有自己的 OT 队伍，也不需要——模型从伙伴的既有渠道灌进去，合同谁签，关系就是谁的。等电网的调度系统习惯了让某个 Claude 看日志，换供应商这件事，就和替换 SCADA 系统一样贵了。

免费阶段的终点也不难猜。企业版 Claude Security 已经挂出价格，免费扫描器是获客漏斗最宽的一层：项目习惯了它的报告格式、严重度口径、补丁风格之后，企业采购安全工具时候选名单上的第一个名字，是它。这不违规，甚至不算算计——平台免费层都这么干。值得记录的只是：当漏斗的下游是电网和水务，这就不是互联网产品的定价游戏了。

免费从来不是慈善。它要么是获客，要么是把成本挪到你暂时看不见的地方。开源安全原是一块志愿者守的公地，一家私企免费接管，表面治了“公地悲剧”，实际立了一个新单点——把去中心化的信任，重新收到一处。

责任真空

责任落在哪？

OSS Scanner 免费、无公开 SLA 条款、报告不经人工审核；快速通道这批发现，不进公开流程（GitHub：不设 90 天披露期，也不会公开）。对比一下人工核实的 CVD 路径：有公开台账，披露有编号，外界可逐条核对。

账本摆出来了，对账的人也来了。

VulnCheck 今年 9 月对 Anthropic Glasswing 账本的独立比对：修补仪表盘称 421 项已获上游修补、对应 462 份公告，披露台账却只记 202 项；CVE 台账 70 条、主台账 82 条；GHSA 台账 49 条、主台账 77 条——三本账，对不上。同一份比对里，Claude 把 91.5% 的发现判为高危或严重，维护者的判断是 51.3%。

严重性错配也不是学术分歧。91.5% 对 51.3%，意味着维护者的修复优先级正在被机器的口径牵着走：先修它说严重的，而不是先修真正严重的。排队权就是处置权。

落到个人头上，差距更刺眼。VulnCheck 同一轮比对里，curl 作者 Stenberg 收到的 5 份有据可查的报告，只有 1 个是真漏洞，其余 3 份误报、1 份真实但够不上安全漏洞。聚合口径下 91.4% 的真阳性率，个体样本里是 20% 的命中率。

要公平：样本只有一份，构不成统计。但维护者每天面对的就是一份一份的报告，不是聚合曲线。他们的体感，由分母为一的样本构成。

“谁审计审计者”这个问题一旦真去量，第一个结果是：数字先对不上。当然，这几本账都是 Anthropic 自家系统之间的差异，还轮不到外部审计登场。但记账的人连自己的数都没对齐，读账的人凭什么对齐？

把这个结构放进具体场景。某维护者采纳一份未经核实的补丁，合入后引入新缺陷，下游企业受损——谁赔？扫描器免费、无 SLA、报告自带免责；维护者按开源惯例不担保；企业用开源组件，自负其责。每一环都“合理”，合起来就是真空。传统安全厂商卖的是带责任的产品：合同、赔付条款、行业认证。这里免费提供的是带免责的判断。

于是形成一个结构：塑形了安全判断的人，对安全结果不担责。判断权交出去了，责任留下了。

收口：看行为，不看表态

声明层说得清楚：这是一次“防御关键基础设施”的动作。

行为层的账，用三个硬问题量。

一，谁审计这个审计者？OSS Scanner 自身有无独立第三方审计——截至核查日，无公开数据。 二，真阳性率、误报率、漏洞采纳率到底是多少？“超过 90%”是预期，抽验是 88%；采纳率、复发率，无公开数据。 三，关键基础设施对单一私企的依赖有多深？CIDP 的条款、定价、责任分配——无公开数据。

换个说法：接入方拿到的不是产品，是一份未定价的期权。当下免费；未来按什么收费、按什么断供、按什么定责，条款都在对方手里，且随时可改。

三个问题，答不上两个。数据缺口本身也是信息：一家把“透明”写进安全叙事的公司，在自己的权力边界上，没有交出台账。

这件事，还没到能被定价的程度。

收在一个矛盾上：一头是“我们免费帮你防”，另一头是这张“帮你防”的地图本身就写着怎么攻，且有主；一头是“关键基础设施”，另一头是钥匙只放在一家公司手里。

结构上的问题，不必等它犯错才成立。

数据来源与说明：

• Anthropic 官网新闻《Introducing the Anthropic Cyber Mission》，2026-10-08
• Anthropic 研究页《An opt-in vulnerability-finding service for open-source software》，2026-10-08
• Anthropic CVD 台账，截至 2026-10-02，red.anthropic.com/2026/cvd
• Anthropic OSS Scanner GitHub 仓库，2026-10，github.com/anthropics/oss-scanner
• Axios《Anthropic launches AI push to protect critical infrastructure》，2026-10-08
• SiliconANGLE 报道（转述 Axios），2026-10-08
• Google VRP 官方声明（“As of October 1, 2026…”），2026-10-01；TechCrunch、Infosecurity Magazine 转述
• Patch the Planet 数据（Trail of Bits × OpenAI），截至 2026-10-13 仪表盘快照，trailofbits.com/patch-the-planet/；项目 2026-06-22 发布（TechCrunch、Wired 当日报道）
• VulnCheck 对 Anthropic Glasswing 账本比对（2026-09-08）：vulnerabilities.ai/anthropic-glasswing-receipts-vulncheck-audit
• VulnCheck 4 月 CVE 归属核对（75→1）：csoonline.com
• Security Week、GravityDevOps（Defender Advantage Fund / 0xDAF，3,500 万美元 Claude credits），2026-08-21
• ET CISO（消费者条款“reportedly”），2026-10-09
• Project Glasswing 页（1 亿美元额度 + 400 万美元捐赠背景），2026-04-07
• Heartbleed 后 OpenSSL 维护状况（2014 年公开报道）