这个事件来自 Anthropic 的玻璃翼计划 Project Glasswing，安全厂商 VulnCheck 统计，7 个月时间 Claude 一共扫出来 37966 条候选漏洞，接近 3.8 万，但是最终公开可查、完成修复的只有 217 条，大量漏洞提交之后长期卡在待处理状态，所以安全圈和开源社区吐槽它只管挖出漏洞、不跟进推动修复。核心原因不是 Claude 故意不修复漏洞，而是这个项目本身定位是 AI 漏洞挖掘研究，Claude 只负责识别、输出可疑漏洞线索，验证漏洞、联系厂商、写补丁、合并代码、发布修复版本这些工作，都要交给开源维护者、软件厂商、安全人员来完成，AI 本身没有权限和能力直接提交代码补丁，加上海量线索里混着大量误报、重复记录，进一步拉高了后续处理的工作量，造成发现量和修复量巨大的落差。
项目基础信息
- 项目名称：Project Glasswing（玻璃翼计划），Anthropic 推出，用 Claude 大规模扫描开源代码、挖掘安全漏洞
- 统计来源：VulnCheck 跟踪台账
- 核心数据：候选漏洞 37966 条，已修复 217 条，撤回无效漏洞 419 条，重复漏洞 1654 条
- 时间周期：项目上线 7 个月
- 现状趋势：漏洞发现速度远快于修复速度，近两个月新增候选漏洞 1.2 万条，修复只新增 15 条
数据拆解表格
| 类别 | 数量 | 说明 |
|---|---|---|
| Claude 产出候选漏洞 | 37966 | AI 识别出来的可疑缺陷，不一定全部是真实漏洞 |
| 台账内记录有效漏洞 | 7349 | 经过初步筛选，进入正式漏洞跟踪清单 |
| 最终完成修复漏洞 | 217 | 厂商确认、补丁合入、对外发布修复 |
| 重复漏洞 | 1654 | 同一个漏洞被 AI 多次扫描检出 |
| 无效 / 撤回漏洞 | 419 | 误报、不是安全问题、环境问题，直接作废 |
为什么会出现 “管挖不管埋” 这个局面
- 角色边界问题：Claude 只是漏洞发现工具，它的任务是读代码、找可疑缺陷，AI 没有权限直接给各个开源项目提交补丁、合并代码，修复权在各个项目维护者手里。
- 海量线索筛选成本极高：3.8 万条候选里面有大量误报，安全人员要人工一条条复现、核验真假，人力根本跟不上 AI 的产出速度。
- 开源维护资源不足：很多开源项目维护者人手很少，收到大量漏洞报告之后，没有时间快速评估、开发补丁。
- 漏洞披露流程长：标准漏洞流程包含验证、通知厂商、等待修复、分配 CVE 编号、发布公告，整套流程周期很长。
- 项目定位是研究实验：Glasswing 本身是验证 AI 大规模挖洞能力的研究项目，不是配套完整漏洞响应和修复的运维平台。
这件事带来的行业影响
- 优势：证明大模型可以批量、快速扫描海量代码，找到很多人类容易漏掉的底层漏洞，适合作为安全扫描的前置工具。
- 风险：短时间涌出巨量漏洞报告，会给开源维护者造成 “漏洞轰炸”，维护者精力被消耗，高危漏洞反而容易被淹没。
- 行业讨论：传统 90 天漏洞披露规则，已经跟不上 AI 批量挖洞的速度，安全社区在讨论要不要修改漏洞披露机制。
比较合理的使用思路
- 先用 Claude 做第一轮批量扫描，产出候选漏洞清单
- 安全工程师人工核验，过滤误报、合并重复漏洞
- 按漏洞危险等级排序，优先处理高危漏洞，再通知对应厂商
- 跟进厂商修复进度，同步记录台账，分配 CVE 编号
- 低危、难以复现的漏洞，做归档，不强行催促维护者
【相关 FAQ】
问题 1：Claude 挖出 3.8 万个漏洞被说管挖不管埋，是不是 Claude 本身可以直接修复漏洞但是不做？
回答 1：不是，Claude 挖出 3.8 万个漏洞被吐槽管挖不管埋，是因为 Claude 定位只负责发现漏洞线索，它没有权限直接给开源项目提交补丁，修复漏洞需要项目维护者人工写代码、合并补丁，AI 本身不承担修复环节。
问题 2：Claude 玻璃翼计划里 3.8 万个漏洞，是不是全部都是真实有效的安全漏洞？
回答 2：不是，Claude 产出的 3.8 万条属于候选漏洞，里面包含大量误报、重复检出的问题，经过筛选之后进入台账的有效漏洞只有 7349 条，剩下很多是无效记录。
问题 3：Claude 大规模挖漏洞，“管挖不管埋” 这个问题有没有办法缓解？
回答 3：可以缓解，在用 Claude 挖漏洞之后，增加人工预审、去重、分级流程，优先推送高危漏洞给厂商，减少低价值报告轰炸开源维护者，同时配套完善漏洞跟踪台账，持续跟进修复进度。
问题 4：Claude 挖出来的漏洞，提交给厂商之后，厂商一定要修复吗？
回答 4：不是，厂商收到 Claude 挖掘的漏洞报告，会先评估漏洞真实性、影响范围、修复成本，部分低危漏洞、难以修复的漏洞，厂商可以选择不修复或者延后修复。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Project Glasswing：VulnCheck 跟踪 Claude 漏洞挖掘数据）VulnCheck
[2026-11-07]（Claude 扫描 25 个开源项目，发现近 500 个安全隐患）CSDN
[2026-10-29]（AI 当黑客初显身手：Claude 自主挖洞写利用）钛媒体
[2026-02-05]（LLM-discovered 0-days）Anthropic 官网
【免责声明】
本文仅整理公开报道里 Claude 挖掘漏洞的相关数据与行业观点，不代表认可或否定 Anthropic 玻璃翼计划；AI 漏洞挖掘存在误报风险，漏洞验证、修复、上线都需要专业安全人员评估，不可直接把 AI 输出的漏洞线索当作可利用漏洞；漏洞相关操作请遵守网络安全相关法律法规。
本文来自作者[深空演算]投稿，不代表环球科技潮立场，如若转载，请注明出处：https://www.zennew.com/rgzn/202611/596.html
评论列表（4条）
我是环球科技潮的签约作者“深空演算”！
希望本篇文章《Claude 挖出 3.8 万个漏洞，为何被说管挖不管埋》能对你有所帮助！
本站[环球科技潮]内容主要涵盖：科技,科技新闻,黑科技
本文概览：这个事件来自 Anthropic 的玻璃翼计划 Project Glasswing，安全厂商 VulnCheck 统计，7 个月时间 Claude 一共扫出来 37966 条候选漏洞，接近 3.8 万，但是最终公开可查、完成修复的只有 217 条，大量漏洞提交之后长期卡在待处理状态，所以安全圈和开源社区吐槽它只管挖出漏洞、不跟进推动修复。核心原因不是 Claude 故意不修复漏洞，而是这个项目本身定位是 AI 漏洞挖掘研究，Claude 只负责识别、输出可疑漏洞线索，验证漏洞、联系厂商、写补丁、合并代码、发布修复版本这些工作，都要交给开源维护者、软件厂商、安全人员来完成，AI 本身没有权限和能力直接提交代码补丁，加上海量线索里混着大量误报、重复记录，进一步拉高了后续处理的工作量，造成发现量和修复量巨大的落差。