2026 年 10 月，Anthropic 推出一個免費工具——OSS Scanner——用 Claude Mythos 自動掃描 open-source projects 嘅安全漏洞，仲幫你出埋 patch。
截至推出日，佢已經掃到 29,000+ candidate vulnerabilities，提交咗 116 個 pull requests 俾各大 open-source maintainers。
OSS Scanner 係咩？
簡單嚟講，佢係一個 opt-in 嘅免費服務：你喺 GitHub 上嘅 open-source project 可以 sign up，Anthropic 會用 Claude Mythos 定期掃你個 codebase，搵到潛在漏洞就自動開 issue 或者 PR，連同 reproducer step、bisection、candidate patch 一次過俾你。
29,000+ candidate vulnerabilities
推出至今已經掃到近三萬個潛在漏洞，其中 116 個已透過 PR 提交俾 maintainer。由 buffer overflow、race condition 到 business logic flaw 都有。
對比傳統嘅 SAST（static analysis）工具，OSS Scanner 有幾個明顯優勢：
- 理解上下文：唔係淨係 pattern match，Claude Mythos 真係理解段 code 嘅 business logic，所以你少啲 false positive。
- 出埋 fix：唔係報告一句「有問題就收工」，佢會出一個 candidate patch，你可以直接 review、改兩句就 merge。
- 共生長：越多人用，Anthropic 嘅漏洞資料庫就越豐富，scan quality 會持續 improve。
香港開發者／中小企點用好 OSS Scanner？
香港用 open-source 嘅場景主要有三個：
你自己寫嘅 open-source project
無論係一個香港 developer 寫嘅 npm package、一個 HK 團隊嘅 Django app、定係你寫俾 community 用嘅 WordPress plugin——只要係 public repo，你就可以 sign up OSS Scanner。做法：去 github.com/anthropics/oss-scanner 睇 enrollment instructions，授權 Anthropic scan 你嘅 repo 就得。
你用嘅第三方 package 有冇漏洞？
你公司個 web app 用咗 10 幾個 open-source packages，你點知邊個有 security issue？即使你唔係 maintainer，你可以主動去 check 你用到嘅 package 有冇被 OSS Scanner scan 過。如果未有，你可以 submit 俾 Anthropic check。零成本 security audit。
學 AI security auditing
做 AI security 嘅第一步係睇真實案例。去 OSS Scanner 嘅 GitHub 睇佢哋出嘅 PR——每個都係一個真實漏洞 + AI patch 嘅配對。呢啲係極好嘅學習材料，幫你理解「Claude Mythos 點樣理解安全問題」。
你唔使係 security expert
好多香港開發者覺得 security 係門檻好高嘅領域，但 OSS Scanner 嘅設計就係減低呢個門檻：
- 你唔使自己設 scanner infrastructure
- 唔使知 CVSS 係咩
- AI 出咗 report + patch，你只需要 review 同 approve
呢個 pattern 正正係我哋 whynoideas 不斷提倡嘅：用 AI 降低專業門檻。正如我哋教香港人用 local AI agent 取代 $200/month cloud API，Anthropic 呢個 tool 就係示範緊「AI security audit 可以由幾個鐘縮到幾分鐘」。
📬 每週收本地 AI 安全指南
用 local AI agent 取代 cloud API 嘅實戰教學、免費 security tools 對比。留低 email，我哋每星期 send 俾你。
免費訂閱 · Subscribe3 步開始用 OSS Scanner
- 去 GitHub：打開 anthropics/oss-scanner，睇 README 點樣 opt-in 你嘅 repo。
- 授權 scan：Anthropic 會用 Claude Mythos 定時掃你嘅 codebase，通常 48 小時內出第一次 report。
- 睇報告：收到 issue/PR 之後，睇 AI 出嘅分析 + candidate patch。你可以直接 merge、修改後 merge、或者 ignore。
費用：$0。Anthropic 做呢個係因為 open-source ecosystem 愈安全，成個 AI 生態就愈健康。
同場加映：AI security 嘅雙面
有趣嘅係，同一星期，另一間公司 XBOW 用 OpenAI GPT-5.6 Sol + US$40K API cost，6 日內 chaining 3 個 Chrome zero-day，做到 full-chain sandbox escape，搶到 Google US$250K bounty。
一面係 AI 幫你 防守（Anthropic OSS Scanner），一面係 AI 幫你 進攻（XBOW exploit）。對香港 developer 嚟講，兩邊都值得關注——因為你嘅 open-source code base 同時係攻擊目標同防守前線。