Anthropic这份审计报告由VulnCheck于2026年11月9日发布，跟踪期覆盖七个月，累计发现37966条、标记修复217个、442个归因CVE中确认在野利用的仅2个。
事实还原
跟踪起点是2026年4月Anthropic启动项目，账本最后一次更新在11月2日。总发现数5月为23019条，后来涨到37966条；公开条目只有7349条，占19.4%。修复数同期从202个走到217个。9月至11月这段时间，新增发现接近12000条，修复只多了15个。重复发现累计1654条，撤回419条。Anthropic说真实阳性率从90.8%升到了94.2%，可重复加撤回的数量，已经比修复数量还多。
curl项目这边收到34份报告，19份被拒，6份确认为低严重性，还有9份在评估中。VulnCheck统计的442个CVE里，只有CVE-2026-61500和CVE-2026-26980两项进了已知被利用目录。
机制拆解
项目早期靠人工验证，发现规模一上来，人工就处理不过来了，于是转向OSS Scanner。2026年10月，Anthropic承认向请求批量数据的维护者发去了近5000份未验证报告。审计的说法是，分类工作得维护者自己扛，curl这类项目实际承担的验证负担，本来是Anthropic承诺要做的。
账本更新频率不高，而且是一批一批地更，重复发现便随着时间越积越多。9月至11月，重复发现从216条涨到1654条。没被及时处理的发现，更容易被其他研究者再报一遍。
产业影响
开源维护者本来就人手紧，大量低质量或重复的报告又进一步占去他们的时间。已公开的发现中，修复比例不到3%，这和Anthropic最初“数千高危漏洞”的说法对不上。AI安全工具大规模找问题的能力算是得到了验证，可从发现到修复这一段仍然靠人，瓶颈并没有被AI自己解决。
战略判断（分析而非事实）
就现有数据看，AI漏洞扫描工具讲精度，得和实际修复转化率放在一起评估。Anthropic把验证工作往前推给社区，短期可能让发现数量好看，长期却可能动摇开源生态对AI辅助披露的信任。今后类似项目要建立可信度，账本里得同步给出验证流程和拒绝理由，光更新阳性率数字不够。
