Anthropic 玻璃翼 Glasswing 安全项目由 Claude Mythos 模型扫描产出 37966 条候选漏洞，第三方 VulnCheck 在公开披露台账统计到标记完成修复的只有 217 条，很多人第一眼会觉得数据矛盾，但本质是两套统计口径不一样，两边其实都没有算错。37966 条是 AI 直接输出的全部候选发现，没有经过严格人工核验，里面包含重复报告、误报、低风险问题；而 217 条是 VulnCheck 按照公开披露台账、完成 CVE 归档、对外标记修复的条目；Anthropic 自己的口径统计的是上游代码库已经合入补丁的数量为 629 条，这就形成三组数字差异，核心卡点不是 AI 找不到漏洞，而是漏洞从 AI 检出、人工复核、通知维护者、提交补丁、公开归档，是一条很长的异步流程，人工审核和开源项目维护人力跟不上 AI 批量产出漏洞报告的速度。
一、Glasswing 项目各阶段数据清单（截至 11 月 2 日）
- AI 产出候选漏洞总数：37966 条
- 进入公开台账记录：7349 条
- 台账标记已修复（VulnCheck 口径）：217 条
- 重复报告：1654 条
- 被撤回、判定不是漏洞：419 条
- 经过外部安全厂商复核：6376 条
- 复核后确认有效漏洞：6009 条
- 已经通知开源维护方：5087 条
- 上游仓库已经打上补丁（Anthropic 口径）：629 条
- 关联生成 CVE 编号：442 个
二、两种统计口径对比表
| 统计口径 | 统计主体 | “修复” 判定标准 | 对应数值 |
|---|---|---|---|
| 公开台账口径 | VulnCheck | 漏洞进入公开追踪台账、状态标记修复、完成披露归档 | 217 条 |
| 上游补丁口径 | Anthropic 官方 | 维护者接受漏洞报告、代码仓库合入修复补丁，不一定完成公开披露 | 629 条 |
| 原始候选口径 | Anthropic 模型 | AI 扫描输出的全部潜在问题，不做人工过滤 | 37966 条 |
三、漏洞从检出到修复完整流程
- Claude Mythos 模型批量扫描开源代码，输出候选漏洞，计入 37966 总量
- 外部安全团队人工复核，剔除误报、重复项，筛选出真实有效漏洞
- 向对应开源项目维护者发送漏洞报告，等待维护方确认
- 维护者评估风险，编写代码补丁并合并到上游代码仓库
- 选择是否走 CVE 申请、公开披露流程，进入公开台账
- VulnCheck 抓取公开台账，标记状态为修复，计入 217 条
四、项目暴露出来的瓶颈与问题
✅ 项目价值
- AI 漏洞扫描可以短时间批量挖掘潜在问题，大幅提升漏洞发现速度
- 可以批量覆盖大量中小开源项目，很多项目缺少专职安全人员
- 高危漏洞可以提前被捕获，降低后续被攻击者利用的风险
❌ 现存瓶颈
- AI 输出大量候选报告，存在重复、误报，给开源维护者带来巨大审阅压力
- 人工复核、补丁开发、披露归档速度远远跟不上 AI 生成报告速度，缺口持续拉大
- 部分报告无人工前置审核直接发给维护者，大量低价值报告挤占维护精力
- 公开披露流程不是强制项，不少上游打了补丁但不会同步更新公开台账
五、核心总结
37966 候选漏洞和台账 217 条修复并不冲突，只是统计环节不一样：前者是 AI 第一层输出结果池，后者只是走完完整公开披露流程的一小部分；Anthropic 统计的上游补丁 629 条，处在中间环节。AI 擅长 “找问题”，但漏洞治理是依赖人的链条，AI 提速了发现环节，修复、披露环节的人力短板成为新瓶颈，这也是这套 AI 漏洞挖掘方案现阶段最大的现实局限。
【相关 FAQ】
问题 1：Anthropic 挖出 37966 条候选漏洞，台账修好 217 条，为什么两边都没算错？
回答 1：Anthropic 挖出 37966 条候选漏洞是 AI 扫描产出的全部潜在问题总量，台账修好 217 条是 VulnCheck 统计走完公开披露归档流程的修复条目，统计阶段、判定标准不一样，所以两组数字都有效，不存在一方算错。
问题 2：Glasswing 项目 37966 条候选漏洞里，有多少是真实有效的漏洞？
回答 2：Glasswing 项目 37966 条候选漏洞中只有 6376 条经过外部安全专家复核，复核后确认有效的漏洞为 6009 条，其余大量条目是重复、误报或者不构成安全缺陷的代码写法。
问题 3：Anthropic 口径 629 条上游补丁，为什么和台账 217 条修复数量不一样？
回答 3：Anthropic 口径 629 条上游补丁指开源维护者已经把修复代码合并进仓库，不一定提交 CVE、进入公开台账；台账 217 条修复是完成公开披露、在追踪台账标记修复的记录，披露不是补丁的必要步骤。
问题 4：Anthropic 37966 条候选漏洞带来的主要痛点是什么？
回答 4：Anthropic 37966 条候选漏洞批量涌出，最大痛点是人工审核、开源维护人力跟不上 AI 产出速度，大量报告直接推送给维护者，容易造成报告疲劳，低价值报告挤占真正高危漏洞的处理资源。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Glasswing found nearly 38,000 flaws but few are actually fixed）Cybersecurity Beat
[2026-11-11]（38,000 AI-found vulnerabilities, 217 fixed: auditing Glasswing）DEV Community
[2026-11-10]（VulnCheck counts 442 CVEs from Anthropic's Glasswing）AI Brief
【免责声明】
本文内容基于 VulnCheck、Anthropic Glasswing 项目公开追踪数据整理，漏洞数量、复核状态、补丁进度会随开源维护者处理动态更新；不同安全机构统计口径存在天然差异，本文仅做资讯解读，不代表漏洞安全评级、漏洞可利用性判断；不构成安全测试、漏洞修复的实施指导，线上系统安全加固请以厂商官方公告和专业安全评估为准。
本文来自作者[星波缓存]投稿，不代表环球科技潮立场，如若转载，请注明出处：https://www.zennew.com/rgzn/202611/1126.html
评论列表（4条）
我是环球科技潮的签约作者“星波缓存”！
希望本篇文章《Anthropic Glasswing 项目挖出 37966 条候选漏洞，台账记录修复 217 条，统计口径不同两边数据均成立》能对你有所帮助！
本站[环球科技潮]内容主要涵盖：科技,科技新闻,黑科技
本文概览：Anthropic 玻璃翼 Glasswing 安全项目由 Claude Mythos 模型扫描产出 37966 条候选漏洞，第三方 VulnCheck 在公开披露台账统计到标记完成修复的只有 217 条，很多人第一眼会觉得数据矛盾，但本质是两套统计口径不一样，两边其实都没有算错。37966 条是 AI 直接输出的全部候选发现，没有经过严格人工核验，里面包含重复报告、误报、低风险问题；而 217 条是 VulnCheck 按照公开披露台账、完成 CVE 归档、对外标记修复的条目；Anthropic 自己的口径统计的是上游代码库已经合入补丁的数量为 629 条，这就形成三组数字差异，核心卡点不是 AI 找不到漏洞，而是漏洞从 AI 检出、人工复核、通知维护者、提交补丁、公开归档，是一条很长的异步流程，人工审核和开源项目维护人力跟不上 AI 批量产出漏洞报告的速度。