攻擊者用 AI 找漏洞的速度越來越快，但防禦端長期缺的不是技術，是資源。Anthropic 在 2026 年 10 月 8 日宣布推出 Cyber Mission，一個長期承諾，把前沿模型、研究和工程人力交到防禦者手上。對做產品的人來說，值得注意的不是公關措辭，而是兩個具體的切入點：關鍵基礎設施的營運技術（OT），以及幾乎所有軟體都依賴的開源碼。
為什麼是這兩個領域
電網、自來水、交通網絡跑在為期數十年的控制器和工業網絡上。這些系統往往不能停機修補，已知漏洞可能懸置多年，而維護它們需要高度專業、設備專屬、改動風險極高的工作。開源那邊的問題剛好相反：絕大多數軟體依賴開源碼，但很多專案只有少數志工維護，triage 大量漏洞報告根本沒有人力。
Anthropic 自己也承認先前的方法不夠。在 Project Glasswing 中，合作夥伴確實發現了大量漏洞，但根據 Anthropic 的說法，找到漏洞容易，驗證、排序和修復仍然困難，網路風險並未因此顯著下降。Glasswing 已在本週稍早併入擴大後的 Cyber Verification Program。
CIDP：走進 OT 的信任鏈
關鍵基礎設施防禦計畫（CIDP）沒有直接去找電廠或自來水廠，而是透過營運商已經信任的供應商：創始夥伴包括 Accenture、Booz Allen、CrowdStrike、Deloitte、Dragos、Hitachi、Nozomi Networks、Palo Alto Networks、PwC 和 Rockwell Automation。做法是把 Claude 模型、駐點工程師和威脅研究交給這些供應商，再由他們服務終端營運商。
這個設計對 builder 是個值得學的點：在改動成本極高、錯一步可能停擺整座工廠的環境裡，新能力最好搭上既有的信任與工作流程，而不是要求使用者換掉整套做法。Anthropic 也提到今年六月已針對美國州級政府推出類似計畫，接觸了過半數的州和多家大型公共基礎設施營運商。這和先前把模型存取按安全防護分級的做法一脈相承，可參考我先前寫的三級存取拆分。
OSS Scanner：免費掃描，但要自己過濾雜訊
開源端推出的是 OSS Scanner，一個 opt-in 服務，靈感來自 Google 的 OSS-Fuzz。加入的專案定期收到最強模型的免費掃描報告，每份包含漏洞的概念驗證、解釋和建議修法。關鍵限制要說清楚：報告由模型生成、未經人工審查就直接送出，可能有錯誤（例如嚴重性評級不準），Anthropic 預期真陽性率在 90% 以上。
Anthropic 明確說這服務是給「有消化能力的專案」——吃得下產出的維護者才該加入；消化不了的，繼續走人工驗證的協調揭露流程。後續方向包括自動化 triage 和修補，以及研究比修補更進一步的加固與重寫方法，並由八月推出的 Defender Advantage Fund（0xDAF）支持。
給 builder 的三個觀察
第一，資源不對稱是明確的產品切入點。Anthropic 選擇支持「有數十年經驗但缺資源」的防禦者，而不是教新手做安全。第二， 未審查的模型輸出直接交到使用者手上，是一個刻意公開的成本換速度決定——90% 真陽性代表約一成是雜訊，收報告的一方要有自己的驗證流程。第三， 走供應商而非終端用戶的分發路徑，在風險敏感產業可能比直銷更可行。
實際可行的下一步：如果你維護有能力的開源專案，可以直接去 OSS Scanner 的說明頁報名；如果你的產品服務關鍵基礎設施，Anthropic 開放了 CIDP 的意向登記。}