# Anthropic 公开了用 Claude Opus 扫代码漏洞的六步流程，扫开源项目找到 1596 个漏洞，修了 97 个

> 原标题：使用大语言模型保障源代码安全

- 来源：AI HOT 精选
- 发布时间：2026-05-27T22:07:31.048Z
- AX AI 日报：https://ai-daily.ax0x.ai/items/28803
- 原文：https://claude.com/blog/using-llms-to-secure-source-code

## 摘要

Anthropic 在这篇博客里讲了他们怎么用自家最强的 Claude Opus 模型去扫代码安全漏洞。整个流程分六步：先做威胁建模（搞清楚代码可能被怎么攻击），再把代码放进沙盒隔离运行，接着让模型找漏洞，找到后人工验证是不是误报，然后排优先级，最后出修复方案。他们拿这套流程去扫开源项目，截至 2026 年 5 月 22 日共报出 1596 个漏洞，其...

## 推荐理由

HKR 三项都站得住：Anthropic 公开了 Claude Opus 做源码安全审计的完整工作流，并附上 1,596/97 的漏洞与修复数据，不是 PR 稿。没给 85 以上是因为这不算新模型或平台级能力发布，更像现有能力的工程化实践报告。

## 锐评

Anthropic 这篇博客讲的是他们怎么把 Claude Opus 变成一个自动化代码安全审计员。流程不复杂：先分析代码可能被攻击的路径，再把代码扔进隔离环境让模型去找漏洞，找到后人工确认是不是误报，最后排优先级、出修复方案。到 5 月 22 日，这套流程在开源项目里扫出了 1596 个漏洞，其中 97 个已经修了。

数字看着挺多，但关键信息缺了不少。第一，没提误报率——模型报 100 个漏洞里到底有几个是真的，这个直接决定人工复核要花多少时间。第二，没讲每条漏洞的验证成本，如果每个都得资深安全工程师花半小时确认，那省下的只是扫描时间，不是总成本。第三，97 个修复听起来不多，是漏洞太难修还是项目维护者不买账，正文没解释。

这套流程的价值在于把安全审计从“人盯着代码一行行看”变成了“模型先筛一遍，人只做确认”，思路是对的。但别急着把它当成熟方案，它更像 Anthropic 在展示自家模型能干活，离“开箱即用的安全扫描工具”还差误报率、成本数据和第三方复现这三样东西。