Cyber Mission 及其兩項計畫
Anthropic於 2026 年 10 月 8 日推出 Cyber Mission，將工作劃分為兩個相互協調的面向：針對營運科技環境的「關鍵基礎設施防禦計畫」(Critical Infrastructure Defense Program)，以及為開源維護者提供的免費漏洞偵測服務 OSS Scanner。該公司將兩者定位為對同一根本問題的回應——漏洞被發現的速度已超過被驗證與修補的速度。
漏洞統計與審查流程
該倡議援引了 2025 年 11 月 1 日至 2026 年 10 月 2 日期間所產出的研究成果，期間Claude模型產生了 29,439 筆原始發現。Anthropic 向 591 個開源專案的維護者通報了其中 6,157 筆發現；截至 2026 年 10 月 2 日，已有 5,103 筆獲得確認、516 筆已在上游修補，約佔已揭露問題的 8%。Anthropic 為這些發現核發了 584 組識別碼，包含 219 筆 CVE 紀錄與 365 筆 GitHub Security Advisories，部分單一發現同時兼具兩者。六家外部資安公司審查了 6,123 筆發現，確認其中 5,674 筆為有效，準確率為 92.7%。
關鍵基礎設施防禦計畫合作夥伴
關鍵基礎設施防禦計畫透過十一傢俱備與營運業者協作經驗的創始合作夥伴執行：Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Insane Cyber、Nozomi Networks、Palo Alto Networks、PwC 與 Rockwell Automation。其組成橫跨顧問公司、工業網路安全專家，以及製造並更新底層設備的製造商。Hitachi 於五月與 Anthropic 簽署策略合作協議、於六月加入 Project Glasswing，正在為該計畫的工作小組貢獻 OT 專業知識。Insane Cyber 執行長 Dan Gunter 表示，最需要保護的場域——例如偏遠變電站、海上平臺與離線隔離 (air-gapped) 工廠——正是傳統工具難以觸及、專家也難以駐點之處。Rockwell Automation 副總裁暨首席產品安全長 Tony Baker 表示，相關技術必須以負責任的態度應用、嚴謹地驗證，並在部署時將安全與可靠性置於最優先位置。
OSS Scanner 設計與早期評估
OSS Scanner 會將定期的安全報告直接送交已註冊的開源專案，交付前不經人工審核，每份報告皆包含概念驗證、漏洞說明，以及在可行時提供的建議修補方式。Anthropic 的目標是將真陽性率維持在 90% 以上，並將此服務定位為受 Google OSS-Fuzz 啟發而設計。維護者可透過向 Anthropic 公開的 oss-scanner GitHub 儲存庫提交 pull request 來註冊；符合資格的專案必須對基礎設施或使用者安全具有重大影響，並提供一個能建置該專案、且允許在完全離線狀態下進行稽核的 Dockerfile。在初期評估中，滲透測試人員審閱了橫跨 48 個專案的 97 項 critical 與 high 嚴重性發現，結果顯示其中 85 項符合協調揭露的條件，11 項為真實但重複的問題，以及 1 項被判定為無效。維護者也親自提供了評價：wolfSSL 的 Todd Ouska 表示，在收到的 74 份報告中，除 2 份以外其餘全部有效，且其中 5 份成為 CVE；OpenSSL Corporation 的 Anton Arapov 表示，這些報告（含模型原始輸出）的品質不亞於、甚至優於其來自人類的回報；PostgreSQL 的 Noah Misch 則指出，有數份報告附帶的修補方式，他的團隊幾乎可以直接採用。
奠基於 Project Glasswing
Cyber Mission 承接於 2026 年 4 月 7 日宣佈的 Project Glasswing，合作對象包括 Amazon。緊接在 Project Glasswing 進入擴大版 Cyber Verification Program 之後，該方案將 Mythos 5.1 與經驗證的紅隊進行配對；Anthropic 將 OSS Scanner 定位為符合其受理標準之開源專案的免費管道，同時將 Critical Infrastructure Defense Program 鎖定於已與長期運作、通常無法離線修補之設備營運商合作之廠商。
分享這篇文章
