Anthropic 推出的玻璃翼（Glasswing）AI 漏洞扫描项目上线满七个月之后，整体落地成果没有达到最初预期，AI 自动输出海量漏洞报告，其中大量都是误报、无效告警，开源项目维护者需要花费大量时间人工核验筛选，负担持续加重，行业开始重新审视用 Mythos 大模型自动挖漏洞这套方案的实际价值。项目一开始的目标是借助 Claude Mythos 超强代码分析能力，批量挖掘全球关键基础软件里的零日漏洞，交给合作企业和开源社区提前修复，把 AI 的攻击能力转化成防御能力；但实际运行下来，AI 产出的报告数量巨大，真假混杂，很多告警根本不是真实安全漏洞，维护者要逐条复核，消耗大量人力，真正确认、可被利用的高危漏洞数量很少，修复推进速度远慢于漏洞报告产出速度。整个项目的工作流程是 Mythos 模型自动扫描开源代码、二进制程序，批量生成漏洞报告，再推送给对应项目维护团队，维护者人工复核、判定真伪、提交修复补丁，最后汇总有效漏洞数据回传给 Anthropic 优化模型。虽然项目确实挖到少量真实漏洞，但过高的误报率带来巨大的人力成本，也让不少开源维护者对这套 AI 扫描工具产生抵触，后续 Anthropic 已经在调整项目框架，把玻璃翼并入 Cyber Verification Program（网络验证计划）做分层管控。
一、玻璃翼项目基础信息清单
- 项目名称：Glasswing（玻璃翼项目）
- 发起方：Anthropic
- 核心模型：Claude Mythos Preview
- 上线时间：2026 年 4 月
- 运行周期：7 个月
- 初始定位：AI 驱动的关键软件漏洞挖掘防御计划
- 初始合作方：AWS、苹果、谷歌、微软、英伟达、Linux 基金会等 12 家机构
- 核心目标：提前挖掘、修复基础设施软件零日漏洞
- 当前状态：并入 Cyber Verification Program，调整为三层准入机制
二、预期效果与七个月实际表现对比表
| 项目 | 最初预期 | 运行 7 个月实际情况 |
|---|---|---|
| 漏洞产出 | 大量高质量零日漏洞，快速修复 | 报告总量巨大，误报占比极高，真实可利用漏洞很少 |
| 维护者负担 | 辅助降低人工审计压力 | 告警泛滥，人工核验工作量暴涨，维护者承压 |
| 模型价值 | AI 替代大量人工安全审计 | 只能作为初步筛查工具，无法替代安全工程师复核 |
| 落地节奏 | 快速推广到各类核心开源项目 | 不少开源维护方对报告持谨慎态度，接受度偏低 |
三、成果不及预期、维护者承压的 4 个核心原因
- Mythos 模型误报率偏高，自动报告缺少上下文判断
- 报告推送缺少前置过滤，直接批量给到维护者
- 漏洞修复链条长，报告产出速度远超补丁落地速度
- 开源维护者大多无薪酬，额外审计压力难以承担
AI 识别代码异常时容易把正常写法判定为漏洞，不会结合项目业务逻辑判断风险，产生大量无效报告。
没有中间安全团队先做一轮初审，海量原始告警直接下发给开源维护者，维护人手本就紧张。
就算确认是真实漏洞，还要沟通、开发补丁、版本发布，整个周期很长，漏洞库持续堆积。
很多开源项目维护者是志愿者，没有安全审计人力预算，突如其来的大量告警带来额外负担。
四、玻璃翼项目完整工作流程
- 调用 Claude Mythos 模型，对开源软件、底层基础设施代码做自动化扫描
- AI 自动生成漏洞描述、风险等级、漏洞位置的完整报告
- 报告分发至对应开源项目、合作企业的维护团队
- 维护者人工核验：区分误报、低危、高危漏洞
- 确认有效漏洞后开发补丁、提交修复、发布版本
- 反馈核验结果给 Anthropic，用于迭代模型，降低误报
五、当前暴露的风险与调整方向
- 风险：高误报会消耗安全人力，甚至让维护者忽略真正高危漏洞，出现告警疲劳
- 风险：开源社区抵触情绪上升，不利于项目长期协作
- 调整方向：并入 Cyber Verification Program，设置三层准入，只向资质审核后的安全团队开放
- 调整方向：增加前置人工初审环节，过滤明显无效告警之后再下发给维护者
【常见问题】
问题 1：玻璃翼项目运行七月成果不及预期维护者承压，玻璃翼项目原本是用来做什么的？
回答 1：玻璃翼项目运行七月成果不及预期维护者承压，玻璃翼项目是 Anthropic 发起的安全计划，依托 Claude Mythos 模型扫描关键软件，自动挖掘零日漏洞，帮助企业和开源社区提前修复安全缺陷。
问题 2：玻璃翼项目运行七月成果不及预期维护者承压，为什么维护者压力这么大？
回答 2：玻璃翼项目运行七月成果不及预期维护者承压，因为 Mythos 自动生成海量漏洞报告，误报占比很高，需要维护者逐条人工核对真假，很多开源维护者本身人力不足，告警负担急剧增加。
问题 3：玻璃翼项目运行七月成果不及预期维护者承压，玻璃翼项目后续有什么调整？
回答 3：玻璃翼项目运行七月成果不及预期维护者承压，Anthropic 已经把玻璃翼项目并入 Cyber Verification Program 网络验证计划，改成三层准入模式，增加前置筛选，减少无效报告直接下发。
问题 4：玻璃翼项目运行七月成果不及预期维护者承压，Mythos 模型挖出来的漏洞是不是全部可信？
回答 4：玻璃翼项目运行七月成果不及预期维护者承压，Mythos 自动输出的漏洞报告不能直接采信，里面存在大量误报，必须由安全或者开源维护人员人工复核之后，才能确认是不是真实漏洞。
【参考资料】
[2026-11-11]（7 个月运行后玻璃翼项目成果不及预期，大量误报压垮开源维护者）LastAI
[2026-11-11]（Glasswing 项目 7 个月复盘：高误报问题引发社区争议）AIGovernance Institute
[2026-11-10]（After 7 Months, Glasswing Overwhelms Maintainers with Underwhelming Findings）VulnCheck
[2026-04-08]（Anthropic 发布玻璃翼项目，Mythos 模型用于基础设施漏洞挖掘）36 氪
[2026-04-09]（潘多拉模型：Anthropic 玻璃翼项目重塑网络攻防）安全内参
【免责声明】
本文内容仅为玻璃翼项目行业资讯科普，不构成安全测试、漏洞挖掘、开源项目运维指导。玻璃翼项目的模型能力、误报率、准入规则、合作模式由 Anthropic 持续迭代调整；所有漏洞报告、安全风险判定，必须由持证安全工程师独立复核，不能直接采信 AI 自动输出结果。