Claude漏洞挖掘成绩单：37966条候选，仅217条修复
开源维护者：“我们的目标是别被淹死。”
这阵子AI找漏洞的事，怎么看都透着割裂。
一头是AI一出手就翻了个底朝天，先揪出PHP底层一个重大安全漏洞，又扒出948个Linux内核漏洞……
另一头，开源社区快被逼疯了：漏洞是你找出来的，你倒是修啊！
就在昨天，安全公司VulnCheck交出了一份关于
Anthropic玻璃翼计划（Project Glasswing）的答卷。
答卷显示，玻璃翼计划上线七个月，
Claude累计挖出的候选漏洞已有37966条。
可公开记录里，到现在被修复的只有217条。
VulnCheck由此发问：当初闹得沸沸扬扬的网络安全“Mythos时代”，究竟来了没有？
3.8万个漏洞，究竟修好了多少？
先把时间拨回今年4月，Anthropic当时大张旗鼓推出的“玻璃翼计划”。
按该计划的设想，是要用Claude在关键软件和开源项目里成规模地找安全漏洞，再拉上科技企业和开源维护者一起推动修复，赶在漏洞被人利用之前把隐患清掉。
名字有两层含义。
一层是，安全漏洞跟玻璃翼蝶似的，就藏在眼皮底下，几十年都没人察觉；另一层是，透明本身就是一种防护，Anthropic想借更透明的安全研究和漏洞披露机制，让软件系统得到更好的保护。
玻璃翼蝶，学名宽纹黑脉绡蝶｜图源wikipedia
刚启动时，Anthropic承诺给出1亿美元的模型使用额度和400万美元的开源安全捐款，同时称其网络安全王牌模型Claude Mythos Preview已经发现了数千个高危和严重漏洞。消息一出应者云集，苹果、谷歌、微软、AWS、英伟达相继加入。
实际情况呢？
VulnCheck持续追踪的数据显示，到11月初，Anthropic的候选发现累计37966条，而漏洞披露台账中标注为已修复的只有217条。
作废的数据也在往上堆：漏洞撤回项419条，重复项多达1654条。
图源VulnCheck
这个差距还在越快越大。
最近两个月，候选漏洞一下多了近1.2万条，已修复记录却只勉强添了15条。
另外，VulnCheck追踪到442个归因于Anthropic的CVE，只占2026年全球公开CVE总量的0.5%。
△图源VulnCheck
Anthropic官方披露的数据则是，截至11月2日，37966项候选发现中有6376条经外部安全专家审核，6009项被认定为有效，其中5087项已报告给软件维护者，629项拿到了上游补丁。
找出来的和修好的，中间还横着一大截。
数据口径不一样，修复数量对不上，不过双方都看到了同一件事。
那就是按AI挖漏洞这个速度，人工审核压根顶不住。
Anthropic其实早就清楚这点。官方也承认，人工验证能力卡得太死，漏洞审核和披露的效率被严重拖住。
10月8日，这家公司上线了一项叫OSS Scanner的服务。
开源项目维护者可以自己报名，让Claude免费扫代码。模型生成的漏洞报告会直接送到维护者手里，不用再排队等Anthropic安排人审。
开源维护者修不过来
AI正在逼人立刻还清拖了40年的技术债。
这个数据差背后，最难受的还是开源维护者。VulnCheck就拿了网络数据传输工具curl举例。
11月初，curl维护者Daniel Stenberg又收到Anthropic送来的一份大礼包：45份漏洞报告。
更早之前，Daniel就在博客里写过，核心维护者已经被源源不断的报告压得喘不过气。
他说，他们的目标是别被淹死。（We aim to not drown.）
报告实在太多，Daniel只好宣布改掉curl的安全漏洞处理规则。低危、中危漏洞放到GitHub上公开讨论，让更多社区开发者一起帮忙审。
curl目前公开的34份报告里，19份被判定不构成安全漏洞，6份确认属于低危漏洞。
VulnCheck的报告话里带话：之前不是说全是严重危害吗，那现在呢？玻璃翼除了给人添审核工作量，好像也没太大用处。
但Anthropic确实给curl挖出过一个严重漏洞。
今年9月，Claude帮Anthropic发现了curl里的一处Use-After-Free内存错误。特定条件满足时，恶意服务器甚至能借此实现远程代码执行。
Daniel说，这是curl多年来最严重的漏洞之一。
话又说回来，VulnCheck这篇报告也挺像给自家打广告。它批的玻璃翼那些问题，恰好和自家提供的漏洞情报、优先级管理服务对得上……
One More Thing
聊到这儿，可能有人会问：Claude既然这么强，发现问题时咋不顺手把它修好？
其实Anthropic已经让AI生成候选补丁了。
问题是开发者被AI修Bug折腾得够久了……“让LLM生成修复程序确实不难，难的是开源项目愿不愿意采用。”
审一份AI补丁的工作量，有时候差不多等于自己重写一遍。
常常是“点亮一根蜡烛照亮更多黑暗”。AI发现一个问题就动手修，为了修，又往代码里塞进更多复杂逻辑，结果修好一个Bug，带出十个新问题。
“AI非常擅长添加事物，但它却意识不到事物也可以被移除……”这句话指向一个现实：模型找漏洞是一把好手，动手修补却容易越补越乱。
至少眼下，这些最强模型捅出的窟窿，还得靠人来收场。
参考链接：
https://www.vulncheck.com/blog/anthropic-glasswing-november-update
