Anthropic悄悄放了个开源扫描器，你用的依赖库安全吗？

你上次认真检查项目里的开源依赖是什么时候？大多数人答不上来。Anthropic刚在red站点上放出了一个叫OSS Scanner的东西，没发布会、没通稿，就这么安安静静挂在那儿。这说明什么？说明大厂已经开始把开源供应链安全当成基础设施级别的问题来干了，而且不想等标准组织开会。我查了一圈评论，HN上居然零讨论——这工具要么太新还没人注意，要么太危险大家不敢聊。我的判断是：开源生态的安全扫描长期靠Volusion和OSS Index这些工具撑着，但它们的更新节奏跟得上依赖爆炸式增长吗？Anthropic下场做这件事，不管是免费开源还是闭源SaaS，都会逼着整个生态加速。你的CI流水线里，该加这一棒了。

原文：OSS Scanner · 来源：Hacker News