Anthropic 玻璃翼计划引发争议，近 4 万候选漏洞里仅 217 条完成修复

安全机构 VulnCheck 发布跟踪报告，Anthropic 的玻璃翼计划（Project Glasswing）上线七个月，由 Claude Mythos 模型一共找出 37966 条候选漏洞，但是公开记录里只有 217 条漏洞标记为修复，巨大的数量差让整个开源安全圈对这个项目产生质疑，大家认为 AI 快速扫出大量漏洞，但是修复跟进速度严重跟不上扫描速度，还给开源维护者带来很重的核验负担。玻璃翼计划在今年 4 月启动，初衷是利用专用安全大模型自动挖掘开源代码漏洞，提前发现高危缺陷，Anthropic 对外宣称模型真阳性率达到 94.2%，可独立跟踪的数据显示，只有 7349 条漏洞对外公开，剩下八成多候选漏洞没有对外披露，还有 1654 条是重复上报、419 条被撤回，很多送到维护者手里的报告被判定不算漏洞，curl 项目就拒绝过半提交的漏洞报告。为了缓解人工审核压力，Anthropic 在 10 月上线 OSS Scanner 工具，直接把漏洞初审、验证工作交给各个开源项目维护者，不少志愿者维护者吐槽被海量 AI 报告淹没，没法分辨有效漏洞和无效噪声。后续跟踪重点看高危漏洞的修复进度、模型的过滤优化效果，AI 挖漏洞效率已经很高，现在瓶颈已经变成人工验证、写补丁、合并代码的人力，这个矛盾也是当前 AI 安全扫描项目普遍要面对的问题。

玻璃翼计划核心数据清单

• 项目名称：玻璃翼计划 Project Glasswing
• 启动时间：2026 年 4 月
• 累计候选漏洞：37966 条
• 对外公开漏洞：7349 条（占比 19.4%）
• 标记已修复漏洞：217 条
• 标记重复漏洞：1654 条
• 撤回作废漏洞：419 条
• 高危可在野外被利用漏洞：仅 2 条
• 配套模型：Claude Mythos Preview
• 新增工具：OSS Scanner，无人工预审，直接推送给开源维护者

漏洞状态分类对比表

【常见问题】

问题 1：Anthropic 玻璃翼计划被质疑，为什么近 4 万个候补漏洞只修了 217 条？

回答 1：Anthropic 玻璃翼计划被质疑，是因为 Claude 模型扫描漏洞速度极快，但是漏洞核验、写补丁、合并代码依赖开源维护者人工处理，人力跟不上，同时大量结果是重复、无效的噪声，最终只有 217 条漏洞完成修复。

问题 2：Anthropic 玻璃翼计划产出近 4 万候选漏洞，它对外宣称的漏洞识别准确率靠谱吗？

回答 2：Anthropic 玻璃翼计划对外宣称真阳性率 94.2%，但独立机构 VulnCheck 跟踪发现不少报告被维护者直接驳回，大量重复、撤回条目存在，这个准确率数据受到安全社区质疑。

问题 3：Anthropic 玻璃翼计划为了处理海量候选漏洞，推出了 OSS Scanner，这个工具怎么运作？

回答 3：Anthropic 玻璃翼计划配套的 OSS Scanner，会直接用 AI 扫描代码并推送漏洞报告，不再由 Anthropic 这边做人工预审，把核验、判断漏洞真假的压力转移给开源项目维护者。

问题 4：Anthropic 玻璃翼计划被质疑之后，AI 挖漏洞这件事还有实际价值吗？

回答 4：Anthropic 玻璃翼计划被质疑，问题不在于 AI 找不到漏洞，而是 AI 产出噪声太多、修复链路跟不上；AI 依旧能挖到传统工具漏掉的老旧高危漏洞，难点在于搭建配套的筛选、审核、修复流程。

【参考资料】

[2026-11-12]（Anthropic 玻璃翼计划被质疑！近 4 万个候补漏洞，只修了 217 条）36 氪

[2026-11-09]（After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings）VulnCheck 官网博客

[2026-11-12]（Seven months on, Anthropic's Project Glasswing finds just two exploited CVEs）The Stack

[2026-05-22]（Project Glasswing: Securing critical software for the AI era）Anthropic 官方博客

【免责声明】

本文为安全机构 VulnCheck 跟踪报告、Anthropic 公开项目资料整理，玻璃翼计划漏洞数据来自第三方持续统计，漏洞真假判定、修复进度由各个开源项目维护方自主确认；内容仅作为网络安全行业资讯参考，不代表对该 AI 漏洞扫描工具效果的定性结论，代码安全评估请结合多套扫描工具人工复核。