Anthropic玻璃翼计划：Claude挖出37966个漏洞，修复仅217条
最近AI找Bug这事儿有点太割裂了。 这一边，AI一朝出手倒查所有，先挖出了个PHP底层重大安全漏洞，又扒出948个Linux内核漏洞…… 另一边，开源社区都快被整崩溃了：你把漏洞找出来了，你倒是修啊！ 昨天，网络安全公司VulnCheck发布了一份关于Anthropic玻璃翼计划（Project Glasswing）
AI找漏洞这件事，眼下呈现出一种很拧巴的局面。
一边是AI一出手就翻了个底朝天，PHP底层一个重大安全漏洞被它揪了出来，Linux内核里948个漏洞也被它扒了出来……
另一边，开源社区已经快撑不住了：漏洞你找出来了，修的人呢？
就在昨天，网络安全公司VulnCheck交出了一份成绩单，对象是
Anthropic的玻璃翼计划（Project Glasswing）。
成绩单上的数字是：玻璃翼计划上线七个月，
Claude累计挖出的候选漏洞达到37966条。
可公开记录里，被修复的只有217条，到现在为止。
VulnCheck抛出疑问：当初声势浩大的网络安全“Mythos时代”，到底来了没有？
3.8万个漏洞，究竟修好了多少？
先把时间拨回今年4月，Anthropic当时高调宣传的“玻璃翼计划”，不妨再回顾一下。
这个计划想做的事，是让Claude大规模去挖关键软件和开源项目里的安全漏洞，再拉上科技企业、开源维护者一起推动修复，赶在漏洞被利用之前把隐患清掉。
名字里的寓意有两层。
一层是，安全漏洞如同玻璃翼蝶，就藏在人眼皮底下，几十年都没人察觉；另一层是，透明本身就是一种保护，Anthropic想借更透明的安全研究和漏洞披露机制，让软件系统得到更好的防护。
玻璃翼蝶，学名宽纹黑脉绡蝶｜图源wikipedia
计划刚启动时，Anthropic的说法是：拿出1亿美元的模型使用额度，外加400万美元的开源安全捐款；同时宣布其网络安全王炸模型Claude Mythos Preview已经发现了数千个高危和严重漏洞。消息一出应者云集，苹果、谷歌、微软、AWS、英伟达先后加入。
可实际情况真是这样吗？
VulnCheck一直在追踪相关数据。截至11月初，Anthropic的候选发现累计37966条，而漏洞披露台账里标为已修复的，只有217条。
作废的数据 meanwhile 也在往上堆：漏洞撤回项419条，重复项更是多达1654条。
图源VulnCheck
而且这个差距还在越拉越大。
最近两个月，候选漏洞一下子多了近1.2万条，已修复记录却只可怜巴巴地增加了15条。
另外，VulnCheck追踪到442个归因于Anthropic的CVE，这个数字只占2026年全球公开CVE总量的0.5%。
△图源VulnCheck
Anthropic官方披露的口径则是：截至11月2日，37966项候选发现里，6376条经过外部安全专家审核，6009项被认定为有效，其中5087项已向软件维护者报告，629项拿到了上游补丁。
数据口径不一样，修复数量因此有些出入，不过有一件事，双方倒是都看到了。
问题在于，AI以这样的密度挖漏洞，人工审核压根跟不上节奏。
Anthropic对此心里有数。官方承认，人工验证能力卡在严重瓶颈上，漏洞的审核和披露效率被死死拖住。
10月8日，它上线了一项叫OSS Scanner的服务。
玩法是开源项目维护者自己报名，让Claude免费扫自己的代码，模型生成的漏洞报告直接送到维护者手上，不必再排队等Anthropic安排人工审核。
开源维护者修不过来
用AI挖漏洞，等于逼着大家把拖欠了40年的技术债一口气还清。
两边数字对不上，最难受的其实是开源维护者。VulnCheck拿网络数据传输工具curl当了例子。
11月初，curl维护者Daniel Stenberg又收到Anthropic送来的一份大礼包，里面是45份漏洞报告。
其实更早的时候，Daniel就在博客里写过，核心维护者已经被没完没了涌来的报告压得透不过气。
他写下的目标是：别被淹死。（We aim to not drown.）
报告太多，Daniel干脆改了curl的安全漏洞处理规则。低危、中危的漏洞放到GitHub上公开讨论，拉更多社区开发者一起看。
curl目前公开的34份报告里，19份被认定不构成安全漏洞，另有6份确认是低危漏洞。
VulnCheck的报告话里有话：之前说全是严重危害，怎么现在看，玻璃翼除了给审核添活，好像没派上多大用场？
不过Anthropic确实从curl里挖出过一个严重漏洞。
今年9月，Claude帮Anthropic找到了curl的一处Use-After-Free内存错误。特定条件满足时，恶意服务器能借此实现远程代码执行。
Daniel的说法是，这是curl多年来最严重的漏洞之一。
话说回来，VulnCheck这份报告也很像给自己打广告。它批评玻璃翼的那些点，恰好对上自家漏洞情报和优先级管理服务的卖点……
One More Thing
聊到这儿，可能有人要问：Claude既然这么强，发现问题时顺手修好不就行了？
事实上，Anthropic已经让AI生成候选补丁了。
问题是开发者被AI修Bug折腾得够呛……“让LLM生成修复程序确实不难，难的是开源项目愿不愿意采用。”
审一份AI补丁，工作量有时候跟重写一遍差不多。
常见的情形是“点亮一根蜡烛照亮更多黑暗”：AI发现一个问题开始修，为了修又往代码里塞进更多复杂逻辑，结果修好一个Bug，带出十个新问题。
“AI非常擅长添加事物，但它却意识不到事物也可以被移除……”
说到底，眼下这些最强模型捅出的窟窿，还得靠人来补。
参考链接：
https://www.vulncheck.com/blog/anthropic-glasswing-november-update
