Anthropic 的开源漏洞扫描，把压力转移给维护者

据 TechTarget 报道，Anthropic 对开源软件开展的漏洞扫描，正在把安全工作的瓶颈从发现漏洞转移到修复漏洞。报道的核心判断是一个算术问题：扫描产出问题清单的速度，远快于受影响项目的维护者消化这些清单的速度。

这个变化的方向值得注意。安全行业的投入长期集中在“发现”这一端——扫描器、模糊测试、代码审计工具，目标是让隐藏的缺陷尽早暴露。工具越强，发现的缺陷就越多，但修复环节的产能并没有以同样的速度扩张。

开源项目是这种错配最集中的地方。大量被广泛依赖的库由少数维护者利用业余时间维护，他们既没有处理突发报告的义务，往往也没有时间。当一批问题同时到来时，维护者要面对的不只是写补丁，还包括去重、判断严重程度、以及和报告方与用户之间的一整套沟通成本。

报道用“瓶颈转移”来描述这一局面，这个说法点出了一个容易被忽略的错配。发现漏洞的成本在下降，而验证与修补的成本几乎不变。如果新增的报告里混杂着误报、重复项和低危问题，维护者还得先付出额外的甄别成本，才能找到真正需要动手的那几条。

另一个压力点是披露流程。大规模扫描的结果如何排序、如何与既有的 CVE 流程衔接、在公开之前给维护者留出多长的窗口，这些细节决定了报告是帮助还是干扰。流程设计不当，数量优势会迅速变成噪音。

对下游用户来说，这意味着不能把自动化安全扫描当成一次性的体检。上游项目的修复速度，最终决定了下游产品暴露在风险中的时间；如果维护者被淹没，扫描带来的“更多发现”未必等于“更少风险”。

接下来要看的是配套机制。谁来承担分诊和修复的人力成本，扫描方是否愿意提供可复现的步骤和补丁建议，以及开源基金会与企业赞助方会不会把维护者的响应能力纳入资助范围，这些都会决定这一轮扫描是抬高整体安全水位，还是仅仅把工作量转嫁出去。