本文介绍了 OSS-CRS，一个开放、可本地部署的框架，用于在真实世界的开源软件上运行和组合 cyber reasoning system (CRS) 技术。背景是 DARPA 的 AI Cyber Challenge (AIxCC) 竞赛展示了 CRS 不仅能发现漏洞，还能自主确认和修补，七支参赛队伍在赛后开源了各自系统。但这些系统都绑定于竞赛专用的云基础设施，该基础设施已不复存在，导致系统在原始团队之外几乎无法使用。为解决此问题，作者开发了 OSS-CRS，具备预算感知的资源管理，可灵活组合 CRS 技术，并完全本地化运行。论文的核心贡献是移植了竞赛第一名系统 Atlantis 到该框架中，并在 8 个 OSS-Fuzz 项目里发现了 10 个此前未知的漏洞，其中 3 个为高严重性。OSS-CRS 已公开提供。该研究的意义在于将竞赛级自动漏洞发现能力从封闭环境解放出来，使安全团队能够针对自身关注的开源项目进行持续、自动化的安全审计，显著降低漏洞发现门槛，提升开源软件供应链的整体安全性。文章适合漏洞研究人员、安全工程师和开源项目维护者阅读，以理解如何利用该框架开展高效漏洞挖掘。