Anthropic 开源 AI 资安工作流：七阶段自动找漏洞、验证到生成补丁

Anthropic 开源了一套以 Claude 驱动的自动化资安流水线，整套系统从找漏洞、多重验证到生成补丁，全程由 AI 代理协作完成，任何资安团队现在都可以自架使用。
（前情提要：Anthropic：「Mythos Preview」模型决策能力超越人类专家，胜率高达 64%）
（背景补充：彭博爆料 Claude Mythos 已遭未授权存取！Anthropic 最难防的漏洞永远是「人」）

本文目录

Toggle

• 七个阶段，一条自我验证的流水线
• 两条路，一种选择
• 墙正在被同一把工具戳穿

Anthropic 旗下的 Claude Opus 在过去一段时间，已在大量开源软件库中发现数百个安全漏洞，这些漏洞「尽管历经多年专家审查，却始终未被察觉」，凸显了人工审查的结构性上限。

近期，Anthropic 把这套自动找漏洞、多重验证、最后生成补丁的流水线整套开源在 GitHub，任何资安团队都可以自架、自订、移植到自己的目标代码上。

七个阶段，一条自我验证的流水线

整套系统名为 Defending Code Reference Harness，核心是一条七阶段自动化流水线：

Build（建置）、Recon（侦察）、Find（找洞）、Verify（验证）、Dedupe（去重）、Report（报告）、Patch（补洞）。每个阶段都有独立的 AI 代理负责，前后段之间只传递最小信息，不让后段受前段推理的主观判断污染。

Build 阶段把目标软件编译成一个带有 ASAN 偵测器的映像档。ASAN 全名 AddressSanitizer，简单来说就是一个记忆体安全漏洞的「地雷侦测仪」，程式在执行时只要踩到非法记忆体存取，它就会立刻触发警报。这个映像档在后续所有阶段共用，确保每个 AI 代理看到的是完全相同的程式码环境。

Find 阶段是整套系统的引擎。N 个并行 AI 代理各自在隔离容器里工作，读原始码、造恶意输入。这种「造恶意输入」的方法，白话说就是模糊测试：把各种奇怪的、畸形的、超出边界的资料喂给程式，看它会不会崩溃。

代理只有在同一个崩溃能稳定重现三次之后，才会提交这笔发现，目的在于滤掉误报。误报，简单来说就是「把正常行为错认成漏洞」，是资安工具最常被批评的问题。

Anthropic 特别强调，系统采用多重验证机制，就是为了让每一个回报的漏洞都带有可信的信心评分与严重度分级。

接着是 Verify。一个全新的代理在独立容器里重新执行这段 proof-of-concept（PoC），简单来说就是「用来证明漏洞真实存在的最小可执行程式码」，只有 PoC 的原始位元组会在容器之间流通，验证代理不会知道前一个代理的推理过程，确保结论真正独立。

Report 阶段对每个漏洞生成完整的可利用性分析，另有一个独立的评分代理核查报告中的论点是否有原始码行号与实际执行结果为凭。最终在 Patch 阶段生成候选补丁之前，系统要求人工确认才能套用。

整套流水线跑在 gVisor 沙箱之上。gVisor 简单来说就是一个在作业系统核心层做隔离的轻量虚拟化技术，无论 AI 代理在容器内执行什么程式码，都完全碰不到宿主机的档案系统，网络出口也只开放到 Claude API 这一条路，不会对外泄漏任何资料。

两条路，一种选择

这套系统提供两条使用路径，复杂度差距很大，Anthropic 建议从简单那条开始。

第一条：互动式技能（Interactive Skills）。只需四行指令：

git clone https://github.com/anthropics/defending-code-reference-harness cd defending-code-reference-harness claude /quickstart

跑 /quickstart 会带你在示范目标上走完完整的互动流程：威胁建模 → 静态漏洞扫描 → 人工分类去重 → 补丁生成。全程不需要容器环境，适合先摸清流程逻辑再决定是否投入自动化流水线。

第二条：自动化流水线（Autonomous Pipeline）。需要先安装 gVisor 沙箱、设定 ANTHROPIC_API_KEY，才能对真实目标跑完整的七阶段流程，输出有信心评分的漏洞报告与候选补丁。GitHub repo 里附了一个名为 drlibs 的有漏洞范例库，建议先从它练手，再换成自己的目标。

Anthropic 建议的节奏是：第一天跑完互动式全流程，第二天切换到自动化流水线跑 C/C++ 目标，第三到五天用 /customize 技能移植到其他语言或漏洞类型。

档案里有一句值得记住的话：「成功的团队，都抗拒了先设计完美流水线再动手的冲动，先跑起来，再叠代。」

墙正在被同一把工具戳穿

这场资安攻防的不对称，长期以来是结构性的。攻击方只需要找到一个入口；防守方必须堵住每一道缝。

GhostScript、OpenSC、CGIF 这些被拿来示范的目标，个个都是成熟、广泛部署的开源项目，潜伏其中数十年的漏洞却一直未被人工审查发现，直到 Claude Opus 自主读完提交历史、推断出一个不完整的修补、追踪逻辑到另一个档案、组出一段可以实际执行的 PoC。这个过程，用的不是规则比对，而是推理。

Anthropic 同时提供两条路线：开源的 Defending Code Reference Harness 给想要完全控制权的团队，可自架、自订；而 Claude Security 是完全托管的商业版本，不需要处理 gVisor 配置与基础设施。

开源版给的是透明度与控制权，托管版给的是零摩擦的上手速度，两条路的背后，是 Anthropic 把防御型资安工具定位成基础设施的策略意图。

找漏洞的能力，过去只属于有资源雇用顶尖红队的大型机构。现在这条流水线开源了，防守方和攻击方之间那道不对称的墙，正在被同一个工具从两侧同时戳穿。