Anthropic 的开源漏洞扫描工作已将开源安全的约束从发现缺陷转移到了维护者能力上。当发现工作以 agent 规模运行时，已报告问题的队列增长速度超过了能够评估、路由和修补它们的人。实际结果是，一个发现类问题变成了分诊与供应链问题：谁接收报告、如何复现、哪个版本受影响，以及修复在下游传播之前如何被验证。
相关报道从另一个方向指出了同样的压力，涉及 AI agent 将未经审查的依赖提交到项目中。一个 agent 若在没有记录理由或未固定版本的情况下添加软件包，就会扩大后续扫描必须覆盖的范围。Bloomberg 和 OpenTelemetry 描述了随着 AI 生成输入的增长而恢复对开源贡献信任的工作，这表明应对措施是流程性的，而不仅仅是工具层面的。
对于交付 agent 系统的团队来说，有用的产物是一份契约：每一项自动化发现都带有负责人、复现路径和验证步骤；每一次依赖变更都经过审查、固定版本并可追溯；补丁路由在量级到来之前就已定义。再增加一个扫描器并不能解决维护者能力问题。从现有报道中尚不清楚哪些项目或维护者会首先受到影响，也不清楚信任恢复工作将采用什么验证标准。