Anthropic 发布 Claude 驱动的开源安全框架，实现漏洞自动挖掘与修复闭环

AI 安全公司 Anthropic 在 GitHub 上发布了名为“Defending Code Reference Harness”的开源框架，展示了如何利用 Claude 模型构建自主化的漏洞发现与修复流程。该框架基于 Anthropic 与安全团队的实际合作经验，提供了一套完整的参考实现，涵盖了从威胁建模、侦察、漏洞发现、验证到生成补丁的全链路自动化闭环。核心技术上，该框架集成了 Claude Code 的多项交互技能，如 `/threat-model` 用于构建威胁模型，`/vuln-scan` 用于静态扫描，以及 `/patch` 用于生成和验证修复代码。为了安全起见，自主化流水线使用了 gVisor 沙箱技术来隔离 Agent 对目标代码的执行，防止潜在的风险扩散。虽然参考实现主要针对 C/C++ 内存漏洞（配合 Docker 和 ASAN），但其架构具有通用性，开发者可通过 `/customize` 技能将其适配至 Java 或其他语言环境。Anthropic 明确指出，该项目为参考架构而非即用型产品，适合希望利用 Claude API（包括 Bedrock、Vertex 等渠道）自建安全管道的团队。此外，对于不需要定制化的用户，Anthropic 还提供了托管版的“Claude Security”商用产品。文档详细列出了从 Day 1 的基础静态扫描到 Week 2 的大规模自主扫描的 ramp-up 路径，强调了通过“小步快跑”的方式快速上手并迭代安全策略。

事件分析

💡 核心观点：AI 从代码阅读者进化为“白帽黑客”，自主攻防闭环的落地标志着软件供应链安全正式进入智能体主导的新纪元。