Anthropic 的“网络安全使命”将模型访问权限、工程资源和资金整合为两项明确服务：面向开源项目的 OSS Scanner，以及面向 OT 运营方的关键基础设施防御计划。创新之处不仅在于模型本身，也在于其运营模式：为开源软件提供免费、需主动选择加入的扫描服务，并通过合作伙伴为关键基础设施提供支持。这种组合瞄准了系统性脆弱环节——共享软件库和长期运行的工业控制器——在这些领域，规模化的自动化防御能够切实降低企业和社会面临的风险。

OSS Scanner 会定期在已加入计划的代码仓库上运行 Anthropic 能力最强的模型，生成包含漏洞利用概念验证、严重性评估和修复建议的报告。为最大限度提升速度，报告由模型直接生成，未经人工审核便会发送。这也带来了取舍：维护者能更早发现问题，但必须在工作流程中加入快速、专业的验证步骤。资源有限的项目应权衡更快发现漏洞的好处、分诊所需的额外精力，以及未经进一步验证便根据误报采取行动的风险。

CIDP 将前沿 Claude 模型与现场工程师及成熟的 OT 安全合作伙伴（包括咨询公司、供应商和专业网络安全公司）结合起来，为电力、供水和交通系统提供防护。该计划针对 OT 的运营限制：设备难以停机、系统具有专有性，测试周期也较长。其策略是借助模型辅助专家判断，提升漏洞发现和分诊能力，而不是在运行中的控制系统里自动部署补丁。这种协作模式既能加快发现和排定问题优先级，也能降低不安全变更发生的可能性。

直接交付未经审核的模型生成结果是一把双刃剑：发现问题更快，也可能带来大量误报。误报会消耗维护者或运营方本就紧张的资源，漏报同样令人担忧。更值得警惕的是，攻击者可能试图利用模型生成的概念验证，或探查其可预测的输出模式。组织需要投入资源建设验证工具，制定安全接收和处理报告的流程，并建立健全的负责任披露渠道。对于 OT 系统，即使漏洞判断正确，补丁安装不当也可能带来危险，因此人工参与的控制机制仍不可或缺。

如果你负责维护关键开源组件，应结合团队的分诊能力和 CI 测试成熟度，评估是否加入 OSS Scanner。建设自动化、可复现的测试，以便快速验证模型提供的概念验证。供应商和 OT 运营方应尽早与 CIDP 服务提供方合作，试点受控部署，明确安全回滚方案和维护窗口，并为所有模型建议的修复制定验证步骤。最后，还应更新法律和披露政策，以妥善处理未经验证的模型输出，避免维护者过早暴露于公开风险之中。