Claude 依托 Anthropic 玻璃翼计划（Project Glasswing），在七个月时间里一共挖出 37966 条候选漏洞，也就是大家常说的近 3.8 万个漏洞，但是公开台账里标记完成修复的只有 217 条，巨大的数量差，让开源社区吐槽它是管挖不管埋。这个项目用的是 Claude Mythos 安全模型，目标是扫描开源软件、主流项目代码，批量挖掘安全漏洞，然后把漏洞信息提交给对应项目维护者，可 AI 找漏洞的速度远远超过开源维护团队审核、修复的速度，大量候选漏洞堆积，里面还混着重复条目、误报无效漏洞，给人手本就紧张的开源维护者带来巨大压力。VulnCheck 的统计还显示，近两个月新增候选漏洞接近 1.2 万条，同期新增修复记录只有 15 条，漏洞积压越来越多，不少开源维护者表示已经被海量漏洞报告淹没。
玻璃翼计划漏洞统计数据
| 项目 | 详情 |
|---|---|
| 项目名称 | 玻璃翼计划 Project Glasswing |
| 运行时长 | 7 个月 |
| Claude 挖出候选漏洞总数 | 37966 条（约 3.8 万） |
| 公开已修复漏洞 | 217 条 |
| 重复漏洞条目 | 1654 条 |
| 撤回作废漏洞 | 419 条 |
| 近 2 个月新增候选漏洞 | 约 12000 条 |
| 近 2 个月新增已修复 | 15 条 |
| 使用模型 | Claude Mythos Preview |
玻璃翼计划核心工作清单
- 自动扫描开源代码库，批量识别潜在安全漏洞
- 生成漏洞描述、漏洞位置、风险等级信息，提交给项目维护方
- 配合厂商完成漏洞验证，分配 CVE 编号
- 项目初期配套资金扶持，给开源安全提供补贴、模型额度
漏洞从发现到修复完整流程
- Claude 扫描目标开源代码，输出候选漏洞报告
- 安全专家做第一轮核验，剔除误报、重复漏洞，筛选有效漏洞
- 把有效漏洞通知对应开源项目维护团队，同步漏洞细节
- 维护人员评估漏洞风险、排期，编写补丁代码
- 补丁提交、合并，发布新版本，标记漏洞修复完成
- 第三方安全机构持续跟踪，更新漏洞台账
争议核心说明
这里要分清，Claude 本身定位是漏洞发现工具，它只负责定位漏洞，没有权限直接修改项目代码、提交补丁，修复工作必须由各个开源项目的维护人员来完成。矛盾点在于 AI 挖掘效率太高，传统人工修复流程跟不上产出速度，大量低优先级、重复的漏洞报告挤占维护者精力，反而拖慢高危漏洞处理节奏。
总的来说，Claude 挖漏洞的能力很强，能快速批量发现代码缺陷，但整个漏洞闭环卡在后端修复环节，不是 AI 不愿意修，而是开源社区人力、传统漏洞披露流程跟不上 AI 的挖洞速度，这也是这次 “管挖不管埋” 争议的根源。
【常见问题】
问题 1：Claude 挖出近 3.8 万个漏洞，管挖不管埋是什么意思？
回答 1：Claude 挖出近 3.8 万个漏洞，“管挖不管埋” 指 Claude 可以快速识别、上报大量候选漏洞，但它不能直接修复代码，修复工作依赖开源维护者，大量漏洞积压，修复比例很低，所以开源社区产生这个说法。
问题 2：Claude 挖出来的 3.8 万个漏洞，全部都是真实有效的漏洞吗？
回答 2：Claude 挖出的 3.8 万是候选漏洞，里面包含误报、重复漏洞，其中有 1654 条重复项、419 条作废撤回条目，需要安全专家人工核验才能确认有效漏洞。
问题 3：Claude 玻璃翼计划，为什么漏洞修复速度这么慢？
回答 3：Claude 玻璃翼计划依靠 Claude 批量产出漏洞，开源项目维护人手不足，同时漏洞里混杂大量低危、重复报告，维护者要优先处理高危漏洞，导致整体修复进度跟不上 Claude 挖洞速度。
问题 4：Claude 可以直接自动写补丁，把挖到的漏洞修好吗？
回答 4：Claude 可以辅助生成补丁代码，但 Claude 没有权限直接提交合并到开源项目主线，补丁需要项目维护人员审核、测试、合并，不能由 AI 单方面完成漏洞修复。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Claude AI Uncovered 38,000 Vulnerabilities）36 氪英文站
[2026-11-11]（Claude 挖出 3.8 万个漏洞，修复仅 217 条引发质疑）手机搜狐网
【免责声明】
本文内容仅为网络安全事件资讯科普，漏洞数量、修复数据来自 VulnCheck 监测统计；漏洞风险、修复周期、漏洞处置方案以对应开源项目、Anthropic 官方公告为准，内容不构成安全运维、漏洞处置指导。