AREX Feed Article
Nethermind、ZEUS 与 VirtEngine 申请接入 Anthropic 免费 OSS Scanner，登记 PR 尚未获批
10 月 9 日，三个加密相关项目向 Anthropic 的 OSS Scanner 仓库提交了登记申请：以太坊执行客户端 Nethermind 的 PR #38、Cosmos SDK 项目 VirtEngine 的 PR #46、比特币与闪电钱包 ZEUS 的 PR #47，创建时间分别是当天 00:37、03:29 和 04:20 UTC。截至北京时间 10 月 10 日凌晨核对时，三条 PR 仍处于打开状态、没有合并；crypto.news 在 10 月 9 日 07:12 UTC 的里也写明，这些申请只是参与请求，不等于三家项目已完成安全审计。
这一轮报名指向 10 月 8 日发布的 OSS Scanner：Anthropic 把开源软件安全列为 的两个方向之一，OSS Scanner 对这一方向的开源项目免费提供定期扫描。
三条登记 PR：提交者、扫描范围与验证状态
最早的一条是 。账号 svlachakis 在 00:37:51 UTC 创建 PR #38「Enrol Nethermind in OSS Scanner」，勾选了「我是该项目的核心维护者」，并把报告接收邮箱设为 ，也就是该项目安全政策里公布的地址。描述里写明：Nethermind 是以太坊执行客户端，处理不受信任的 P2P 流量、交易、区块和 EVM 字节码；扫描范围是整个仓库，包含所有生产项目、插件和工具，不做目录排除。验证部分称，官方工具 tools/check 已在 Linux 上把扫描镜像构建完成，离线 EVM 测试跑了 15,755 个测试、零失败；覆盖全部测试项目的更大范围验证当时仍在进行，结果待出。
随后是 。账号 jaeko44 在 03:29:55 UTC 创建 PR #46「Enrol virtengine」，主联系邮箱为 。描述称 VirtEngine 是基于 Cosmos SDK 和 CometBFT 的区块链节点兼算力市场，处理托管、结算与身份流程；同一条 PR 的评论里，申请人自己写道，VirtEngine「还不是一个被积极使用的项目」，仍处于开发阶段，但因为它大量接触来自远程的输入，适合在部署前交给扫描器。
最晚的一条是 。账号 kaloudis 在 04:20:28 UTC 创建 PR #47「Enrol zeus」，描述称 ZEUS 是面向 Android 和 iOS 的自托管比特币、闪电钱包，在手机上运行嵌入式闪电节点（LND 或 LDK Node），持有 Cashu ecash，并管理远程节点（LND、Core Lightning、LNC、NWC、LndHub）。这条 PR 里「tools/check 能构建项目并跑通测试」一项没有勾选：申请人说手头只有 arm64 机器，而扫描器面向 x86-64；随附的 Dockerfile 复现了其 Linux CI 的步骤（Node 24、yarn install --frozen-lockfile、tsc、jest）。
Anthropic 要人工确认维护者身份，仓库里已排着两百多条申请
登记方式写在 anthropics/oss-scanner 仓库的里：核心维护者提交一个加入 projects/<项目> 目录的 PR，附上 project.yaml 和 Dockerfile；扫描器在隔离虚拟机里构建项目，随后在断网环境中分析，把发现、复现步骤和建议补丁发到 primary_contact 邮箱。
提交 PR 只是进入队列。官方 写明，Anthropic 会在登记每个项目之前「人工验证你是核心维护者」，不确定时还会通过其他渠道联系项目确认；收录标准参照 OSS-Fuzz，接收对基础设施和用户安全有重要影响的成熟项目，逐案评估，主要看是否暴露于远程攻击、以及有多少用户和其他项目依赖它，并且这套标准可能随时间调整。截至核对时，三条 PR 的评论记录只有 CLA 签署机器人的提示和申请人自己的确认留言。
这个仓库 10 月 8 日 17:25 UTC 建立，到 10 月 9 日 UTC 晚间已累计 241 条 PR，其中 214 条处于打开状态，被合并的只有一条：编号 的改动给登记模板加了一个勾选项，内容是「我确认我的项目符合收录标准，且是用户所依赖的成熟项目」，由仓库协作者账号 srxzr-ant 在 10 月 9 日 17:03 UTC 合并（）。
OSS Scanner 发出的报告，完全由模型生成
三个项目申请的是「快速通道」：报告一扫描完就发出。Anthropic 的 写明，OSS Scanner 的输出完全由模型生成、不经人工复核或分诊，报告由其最强模型（包括 Claude Mythos）产出，换来更快、更频繁的扫描，代价是报告可能不正确或无效；每份报告带有自包含的复现步骤、漏洞说明（可行时会用二分法定位缺陷的引入时间）以及有则附上的候选补丁。
公告同时披露瓶颈：过去六个月，Anthropic 用最新模型扫描了一批重要的软件项目，发现超过 29,000 个候选漏洞，却只人工复核和分诊了约 6,000 个，原文的说法是「我们仍受限于人工验证这些发现的能力」；另有近 5,000 份未经核实的报告，是在维护者主动索要全部发现后直接发出的。
为验证早期版本，Anthropic 让负责审阅其协调漏洞披露（CVD）发现的专家渗透测试人员检查了 48 个项目中的 97 个严重与高危漏洞：85 个（88%）达到其 CVD 标准，剩下 12 个里有 11 个是真实但重复的问题，1 个无效。公告也承认，维护者有时会反馈严重等级被高估，或者扫描器误解了项目的威胁模型。页面上引用了几位维护者的反馈，包括 wolfSSL 的 Todd Ouska 称收到的 74 份报告中除 2 份外都有效、其中 5 个成为 CVE，以及 curl 的 Daniel Stenberg 称该服务帮助找出了多个值得处理的问题。这些证言由 Anthropic 自行挑选发布。
AI 工程账号 @Hesamation（约 9.1 万关注者）在 10 月 8 日 21:38 UTC 并评论「我们仍然受制于人力」；这条帖子是对 Anthropic 自述数据的评论，不构成独立验证。同样点出这层取舍：项目能更早收到警报，代价是这些报告没有人工审核。
报名之前：Boltz 停摆，ZEUS 关闭 swap
crypto.news 的报道同时回顾了这轮报名之前的加密安全事件：8 月，比特币交换服务 Boltz 在持续数月、被其描述为 AI 辅助的攻击后，于 8 月 3 日暂停交换服务，称自托管设计让客户资金没有暴露，但公司承担了运营损失；依赖 Boltz 的服务受到波及，ZEUS 在停摆后暂时关闭了 swap 功能，另一起安全事件还促使该团队把部分基础设施下线检查。同一篇报道提到，Bitcoin Red Team 在 8 月约 30 小时的 AI 辅助代码审查中，报告在 390 个比特币相关项目里发现 4,962 个潜在问题，其中 720 个被归为高或严重，但这些都需要验证后才能算确认漏洞。
crypto.news 的报道还写明，Anthropic 尚未公布批准这些加密项目或者交付首批报告的时间表；报告送达后，维护者还需要自行复核收到的发现，再决定是否改动代码。