Anthropic 推出的玻璃翼计划（Project Glasswing）上线 7 个月，依靠 Claude 模型一共挖出 37966 条候选漏洞，接近 3.8 万条，但是 VulnCheck 跟踪统计，公开台账里真正完成修复的只有 217 条，大量漏洞堆积没人处理，开源社区压力很大，很多维护者吐槽 Claude 只管扫描找漏洞，后续验证、补丁、落地修复跟不上，并不是 Claude 完全不会生成补丁，核心矛盾是 AI 产出的候选漏洞真假混杂、人工审核速度跟不上 AI 挖洞速度，而且开源项目的补丁决定权在代码维护者手里，Anthropic 没有权限直接修改第三方开源代码，这就造成了 “挖得多、修得少” 的观感，也让行业开始重新思考 AI 漏洞扫描的边界。
一、Claude 挖出近 3.8 万漏洞，修复比例极低的核心原因
1. 大量候选漏洞属于误报、重复条目，有效漏洞池子缩水
3.8 万是 AI 初步扫出来的候选结果，不是全部真实漏洞。数据里面包含重复扫描出来的同类问题、代码误判的假漏洞，记录里有 419 条作废条目、1654 条重复漏洞，经过专家二次核验之后，有效漏洞数量大幅下降，前期筛选就要消耗大量人力。
2. AI 只负责发现漏洞，没有权限直接修改第三方开源代码
玻璃翼计划的定位是漏洞挖掘和提交，Claude 跑代码扫描、输出漏洞报告，代码最终的维护权限在各个开源项目团队手里，Anthropic 没办法直接提交合并补丁，只能把漏洞信息发给维护者，修不修、什么时候修，由项目维护团队决定。
3. AI 生成补丁的可靠性有限，维护者不敢直接采纳
Claude 虽然可以自动生成修复补丁，但 AI 写的补丁很容易引入新 bug，安全工程师审核一份 AI 补丁的工作量，有时候和自己重新写修复代码差不多，维护者不愿意直接合并，宁愿自己重新评估、手写补丁。
4. 人工验证是最大瓶颈，AI 挖洞速度远超人类处理上限
AI 可以短时间批量扫描海量代码库，但是高危漏洞定级、复现、通知维护者、跟进修复全靠安全人员人工跟进，人力缺口很大，最近两个月新增候选漏洞 1.2 万条，修复只新增 15 条，差距越拉越大。
5. 开源维护团队人手不足，无力承接海量漏洞工单
很多开源项目都是个人或者小团队兼职维护，突然收到几十上百条漏洞报告，没有足够时间逐一排查、修复，大量低危、非紧急漏洞直接搁置。
二、玻璃翼计划漏洞挖掘、上报、修复完整流程
- 代码扫描：Claude 批量读取开源代码库，自动静态、动态分析，输出候选漏洞记录；
- 专家初审：安全团队筛掉明显误报、重复项，标记漏洞等级；
- 漏洞通知：把验证后的有效漏洞提交给对应开源项目维护者，附带漏洞描述、复现方式；
- 补丁开发：维护者自主评估风险，要么自己写补丁，要么参考 Claude 生成的候选补丁修改；
- 合并上线：补丁经过测试、代码评审之后合并到主线，标记漏洞修复；
- 台账更新：VulnCheck 持续跟踪，更新公开修复记录。
三、漏洞数据简表
| 统计项目 | 具体数值 | 备注 |
|---|---|---|
| 候选漏洞总数 | 37966 条 | 约 3.8 万条，AI 初次扫描结果 |
| 重复漏洞 | 1654 条 | 同一漏洞多次扫描检出 |
| 作废撤回条目 | 419 条 | 核验后判定为误报 |
| 公开记录已修复 | 217 条 | 截至 11 月初台账数据 |
| 近两月新增候选漏洞 | 12000 条左右 | 修复仅新增 15 条 |
四、整体总结
Claude 挖出近 3.8 万个漏洞被吐槽 “管挖不管埋”，并不是模型故意不修复，而是这套 AI 漏洞挖掘体系存在天然分工限制。AI 擅长高速批量扫描找问题，但验证真伪、评估风险、落地补丁、合并代码都依赖人以及开源维护方。Anthropic 也推出 OSS Scanner 工具，让开源维护者主动接入扫描，直接接收漏洞报告，减少中间审核环节。AI 挖洞是很好的安全辅助工具，但它没法替代安全工程师和开源维护者，短期之内解决不了 “发现快、修复慢” 的矛盾。
【常见问题】
问题 1：Claude 在玻璃翼计划挖出近 3.8 万个漏洞，为什么修复数量只有 217 条？
回答 1：一方面 3.8 万是 AI 扫描出来的候选漏洞，里面包含大量误报、重复漏洞，需要人工筛选；另一方面 Claude 只能提交漏洞报告，没有权限直接修改开源代码，补丁开发、合并权限在开源维护团队，加上 AI 补丁容易出问题，维护团队人力不足，最终完成修复的数量很少。
问题 2：Claude 挖出近 3.8 万个漏洞，玻璃翼计划本身的定位是什么？
回答 2：玻璃翼计划是 Anthropic 发起的开源代码漏洞挖掘项目，核心目标是利用 Claude 大规模扫描开源代码、发现安全缺陷，把核验后的漏洞提交给项目维护者，它的定位是漏洞发现工具，不是自动修复平台，不承担强制修复的责任。
问题 3：Claude 挖 3.8 万漏洞被吐槽管挖不管埋，Anthropic 有没有推出优化方案？
回答 3：有的，官方上线 OSS Scanner，开源项目维护者可以主动报名接入，Claude 直接把扫描报告发给维护者，跳过 Anthropic 集中人工审核环节，减少中间流转时间，尝试缓解漏洞堆积、跟进缓慢的问题。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Project Glasswing：Claude 挖出 3.8 万漏洞，修复率不足 1%）VulnCheck
[2026-11-11]（Claude 玻璃翼计划漏洞跟踪数据，开源社区修复压力陡增）钛媒体
【免责声明】
本文仅为 AI 安全项目资讯解读，不构成安全测试、漏洞评估的专业建议；漏洞数量、修复数据来自 VulnCheck 公开跟踪台账，统计口径为公开可追踪记录，不包含私下沟通、未公开修复的漏洞；AI 漏洞扫描存在误报风险，漏洞定级、修复方案请由专业安全人员评估；玻璃翼计划后续规则、工具更新以 Anthropic 官方公告为准。