标题：Claude 玻璃翼计划挖出近 3.8 万候选漏洞，大量发现仅少量修复引发争议
VulnCheck 最新跟踪数据曝光了 Anthropic 玻璃翼计划（Project Glasswing）的现状，Claude 在项目启动七个月一共挖出 37966 条候选漏洞，但是公开台账里真正标记完成修复的只有 217 条，还有上千条重复、无效漏洞被撤回，开源维护社区质疑这套方案是只管挖漏洞、不管落地修复。之所以出现巨大的数量落差，核心是 Claude 产出的只是候选漏洞，没有全部经过人工核验，大量结果属于误报、重复上报，而且漏洞修复的主体是各个开源项目维护者，不是 Anthropic；AI 可以批量定位可疑代码，但是写补丁、验证、合并、发布版本，都需要人力跟进，很多小开源项目人手不足，根本承接不住海量漏洞报告。整个流程有一套标准的负责任披露链路，从 AI 扫描产出候选、安全人员核验、联系维护者、提交补丁，直到最终版本发布，每一步都卡着人力瓶颈，看懂这套流程，就能理解为什么挖出来的多、修好的少。
一、玻璃翼计划核心统计数据
- 项目名称：Project Glasswing（玻璃翼计划）
- 累计候选漏洞：37966 条（接近 3.8 万）
- 公开确认修复：217 条
- 撤回作废条目：419 条
- 识别重复条目：1654 条
- 统计机构：VulnCheck
- 统计节点：项目上线后 7 个月，截至 11 月初
| 类别 | 数量 | 说明 |
|---|---|---|
| AI 输出候选漏洞 | 37966 | 模型直接识别，未经过完整人工复核 |
| 重复漏洞 | 1654 | 同一缺陷多次上报，需要去重 |
| 作废 / 误报撤回 | 419 | 核验之后确认不是真实漏洞 |
| 最终完成修复 | 217 | 维护者接受补丁、合并发布 |
二、为什么 Claude 挖出海量漏洞，修复率极低
- AI 输出大量假阳性：大模型擅长找出 “看起来危险” 的代码模式，很多告警只是语法特征匹配，并不是真正可利用的安全漏洞。
- 修复责任不在 Anthropic：玻璃翼计划是扫描开源项目，漏洞归属各个开源仓库，补丁、审核、合并由项目维护团队负责。
- 小型开源项目人力稀缺：很多冷门开源库只有一两个维护者，短时间收到几百条漏洞，根本没有精力逐条排查。
- 漏洞披露流程繁琐：遵循负责任披露（CVD），要联系维护方、确认风险、协商修复窗口，高危漏洞还要错开公开时间。
- 部分报告缺少可用补丁：Claude 只定位问题，不一定能生成可直接合并、通过测试的有效修复代码。
三、完整漏洞处理流程
- Claude 自动扫描开源代码仓库，批量输出候选漏洞，附带位置、风险描述。
- VulnCheck、安全研究员人工初审，剔除明显误报、重复条目。
- 通过负责任披露渠道通知对应开源项目维护者，同步风险等级。
- 尝试提交补丁，如果模型生成补丁不可用，还要人工重新编写修复代码。
- 维护者评审代码、跑测试，确认无误之后合并，发布新版本。
- 完成发布之后，在漏洞台账标记为已修复。
四、计划本身的定位和争议点
✅ 项目初衷
Anthropic 推出玻璃翼计划，是想用 Claude 大规模巡检开源生态，提前挖掘零日漏洞，提升开源软件整体安全性，也是 Mythos 安全能力的对外落地。
⚠️ 当前行业争议
开源维护者压力陡增，海量低质量报告挤占维护精力；外界质疑，只追求 “挖洞数量”，没有配套足够的人力帮维护者完成核验和补丁，容易变成数字政绩。
五、后续优化方向清单
- 增加模型侧过滤，降低假阳性，优先输出高可信度、高危漏洞。
- 配套专人跟进，为维护者提供经过验证、可直接合并的补丁。
- 建立分级推送机制，高危漏洞优先通知，低置信度告警先归档，不批量推送。
- 和开源基金会、大型项目长期合作，建立固定对接通道。
【相关 FAQ】
问题 1：Claude 玻璃翼计划挖出近 3.8 万个候选漏洞，是不是意味着绝大多数漏洞都没人处理？
回答 1：不能直接等同于漏洞无人处理，Claude 产出的是候选漏洞，里面包含大量误报、重复条目，只有通过人工核验、维护者合并版本才算正式修复，3.8 万是模型识别总量，不是全部确认有效的真实漏洞。
问题 2：Claude 挖出的漏洞，修复工作是由 Anthropic 负责吗？
回答 2：不是，玻璃翼计划扫描各类开源项目，漏洞属于对应开源仓库，修复、代码审核、版本发布都由该项目维护团队负责，Anthropic 主要负责用 Claude 发现漏洞、走披露流程。
问题 3：Claude 管挖不管埋的争议，根源是什么？
回答 3：争议根源是 AI 批量产出告警的速度远远超过人工核验和开源维护的处理速度，海量报告加重了小型开源维护者负担，缺少配套人力把候选漏洞转化为可用补丁。
问题 4：玻璃翼计划里 Claude 能不能直接生成可以用的漏洞补丁？
回答 4：Claude 可以尝试生成补丁，但很多自动生成补丁无法通过测试、存在逻辑缺陷，还需要安全人员人工修改，这也是拉低最终修复完成率的重要原因。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Project Glasswing 跟踪：Claude 近三万漏洞仅两百余条修复）VulnCheck
[2026-03-12]（Anthropic：Claude 在开源软件中发现数百个零日漏洞）Anthropic 官方博客
[2026-08-31]（Improving our alignment and security practices）Anthropic
[2026-07-30]（Investigating three incidents in our cybersecurity evaluations）Anthropic
【免责声明】
本文数据来自 VulnCheck、Anthropic、行业媒体公开报道，候选漏洞、误报、修复数量会随着后续核验、补丁合并持续变动；AI 漏洞扫描能力、负责任披露流程仍在迭代，本文仅为事件解读，不构成安全评估、漏洞处置方案。