Anthropic玻璃翼计划成绩单：37966条候选漏洞仅217条修复
只管挖不管埋。
挖出来的洞没人填，这大概是眼下AI找漏洞最尴尬的地方。
AI找Bug这件事，最近看着相当割裂。
一头是AI一出手就翻了个底朝天，先揪出PHP底层一个重大安全漏洞，又扒出948个Linux内核漏洞……
另一头，开源社区快被整崩溃了：漏洞你都找出来了，倒是修啊。
网络安全公司VulnCheck昨天发了一份
Anthropic玻璃翼计划（Project Glasswing）的成绩单。上面写着，计划推出七个月后，Claude累计挖出的候选漏洞已经达到37966条。
可公开记录里被修复的，到目前只有217条。VulnCheck由此发问：当初那个声势浩大的网络安全“Mythos时代”，真来了吗？
3.8万个漏洞，到底修好了多少？
先回忆一下今年4月Anthropic高调推出的“玻璃翼计划”。它的目标是让Claude大规模挖掘关键软件和开源项目里的安全漏洞，再联合科技企业、开源维护者一起推动修复，赶在漏洞被利用之前把隐患消掉。
名字有两层寓意。一层是安全漏洞如同玻璃翼蝶，就藏在人眼皮底下，几十年没人发现；另一层是透明本身就是保护，Anthropic想借更透明的安全研究和漏洞披露机制，让软件系统得到更好的防护。
△玻璃翼蝶，学名宽纹黑脉绡蝶｜图源wikipedia
启动时Anthropic放话，要拿出1亿美元的模型使用额度和400万美元的开源安全捐款，同时宣布其网络安全王炸模型Claude Mythos Preview已发现数千个高危和严重漏洞。苹果、谷歌、微软、AWS、英伟达随后纷纷加入。
但实际情况呢？VulnCheck持续追踪的数据显示，截至11月初，Anthropic的候选发现已有37966条，漏洞披露台账里标记为已修复的只有217条。
作废的数据 meanwhile 还在往上堆：漏洞撤回项419条，重复项多达1654条。
△图源VulnCheck
这个差距还在加速拉大。最近两个月，候选漏洞猛增近1.2万条，已修复记录却只微涨了15条。
另外，VulnCheck追踪到的442个归因于Anthropic的CVE，只占2026年全球公开CVE总量的0.5%。
△图源VulnCheck
Anthropic官方给出的数字则是另一套账。截至11月2日，37966项候选发现里，有6376条经过了外部安全专家审核，被认定为有效发现的有6009项；这当中5087项已向软件维护者报告，629项拿到了上游补丁。
两边的修复数量对不上，是因为统计口径不一样。不过有件事，双方都看到了。
AI以这个强度挖漏洞，人工审核根本扛不住。
Anthropic自己也不回避这一点。官方承认，人工验证能力是严重的瓶颈，漏洞的审核和披露效率被它大幅拖住。
10月8日，它拿出了名为OSS Scanner的服务。
开源项目维护者可以主动报名，让Claude免费扫自己的代码。这样一来，模型生成的漏洞报告能直接送到维护者手上，不用再排Anthropic的人工审核。
开源维护者修不过来
AI正在逼我们立刻还清拖欠了40年的技术债。
这个数据差距，最难受的是开源维护者。VulnCheck拿网络数据传输工具curl举例。
11月初，curl维护者Daniel Stenberg又收到Anthropic送来的一份大礼包：45份漏洞报告。
更早的时候，Daniel就在博客里写过，核心维护者已经被源源不断涌来的报告压得喘不过气。
我们的目标是别被淹死。（We aim to not drown.）
报告太多，Daniel只好宣布改掉curl的安全漏洞处理规则。低危、中危漏洞转到GitHub上公开讨论，让更多社区开发者一起帮忙审。
curl目前已公开的34份报告里，19份被认定不构成安全漏洞，6份确认是低危漏洞。
VulnCheck的报告话里带刺：之前不是宣称全是严重危害吗，怎么现在看，玻璃翼除了给人添审核工作量，好像没太大用？
但Anthropic确实从curl里挖出过一个严重漏洞。
今年9月，Claude发现了curl的一处Use-After-Free内存错误。特定条件满足时，恶意服务器甚至能借此实现远程代码执行。
Daniel说，这是curl多年来最严重的漏洞之一。
话说回来，VulnCheck这篇报告也很像给自家打广告。它批评玻璃翼的那些问题，恰好和它自己的漏洞情报、优先级管理服务对得上……
One More Thing
聊到这儿，可能有人会问：Claude既然这么强，发现问题时为什么不顺手把它修好？
其实Anthropic已经让AI生成候选补丁了。
只是开发者被AI修Bug折腾得够久了……“让LLM生成修复程序确实不难，难的是开源项目愿不愿意采用。”
有时候，审一份AI写出来的补丁，花掉的精力跟从头自己写一遍差不多。
事情往往是“点一根蜡烛，照出更多黑”——AI揪出一个问题就动手修，修的过程中又往代码里塞进更多绕来绕去的逻辑。结果一个Bug修好了，十个新问题跟着冒出来。
“AI非常擅长添加事物，但它却意识不到事物也可以被移除……”
说到底，眼下这些最强模型挖出来的坑，还得靠人来填。
参考链接：
https://www.vulncheck.com/blog/anthropic-glasswing-november-update
