VulnCheck 最新跟踪数据显示，Anthropic 的玻璃翼计划上线七个月，依靠 Claude 一共扫出 37966 条候选漏洞，对外被大家近似说成 3.8 万个，但公开台账里面真正完成修复的只有 217 条，新增漏洞的速度远远超过人工核验、提交补丁、上游合并修复的速度，最近两个月候选漏洞新增接近 1.2 万，修复只多了 15 条，这也是为什么开源社区吐槽它属于管挖不管埋，这套项目本意是借助 Claude Mythos 的代码理解能力批量扫描开源项目，快速捞出潜藏安全缺陷，可模型产出的候选漏洞里面混着大量误报、重复条目，还需要安全人员人工验证，再对接各个开源维护者提交补丁，人力跟不上 AI 的产出速度，大量漏洞报告堆积，给本来人手紧张的开源维护团队带来巨大负担，不少维护者表示海量未经筛选的报告反而挤占正常开发精力，并没有想象中那样快速提升开源软件安全水平，行业也开始重新讨论 AI 漏洞挖掘的正确方式，不能只比拼检出数量，还要配套核验、分流、协助打补丁的完整链路。
玻璃翼计划漏洞统计清单
- 总候选漏洞：37966 条，市场俗称约 3.8 万条
- 公开记录已修复漏洞：217 条
- 撤回无效报告：419 条
- 重复冗余条目：1654 条
- 尚未进入台账、待核验条目：超过三万条
- 近两月新增候选漏洞：约 12000 条
- 近两月新增修复记录：仅 15 条
- 项目载体：Project Glasswing，配套 OSS Scanner 开源扫描工具
漏洞流转阶段对照表
| 阶段 | 负责主体 | 核心难点 | 产出变化 |
|---|---|---|---|
| AI 扫描检出 | Claude Mythos | 扫描速度极快，不做严格真实性校验 | 大批量候选漏洞，包含大量假阳性 |
| 人工核验去重 | Anthropic 安全团队 | 条目体量巨大，人力瓶颈明显 | 筛除重复、误报，筛选真正可利用漏洞 |
| 向上游提报 | 安全研究员 | 对接分散的开源项目维护者，沟通成本高 | 提交漏洞与补丁提案 |
| 代码合并修复 | 开源项目维护者 | 人手不足，需要排期、回归测试 | 最终标记为已修复，流入官方版本 |
当前这套漏洞挖掘的标准流程
启动 OSS Scanner，选定开源代码仓库，交给 Claude 批量扫描源码，输出候选漏洞报告，附带定位和初步修复思路；接着由 Anthropic 的安全人员逐条复核，剔除明显的误报、重复记录；确认属实之后，按照规范向对应开源项目提交漏洞披露，同时附上模型生成的补丁草稿；之后等待维护者评估风险，决定是否采纳补丁，安排合并上线；如果维护者没有响应，漏洞就会长期卡在待修复队列；如果判定属于误报，这条记录就标记撤回。整个流程里，AI 只负责第一步扫描，后面所有繁重环节全都依靠人。
社区和厂商两边不同看法
站在开源维护者这边，压力感受最直接，未经筛选的海量报告相当于噪音轰炸，很多候选漏洞根本无法复现，却要花时间确认，挤占修复真正高危漏洞的资源。Anthropic 的解释是，当前瓶颈就是人工审核，AI 擅长发现线索，但没办法独立完成完整验证和推动上游合并，后续打算优化模型，降低误报率，同时提供更靠谱的补丁草稿，减轻维护者负担。支持这条路线的安全研究者认为，长期来看，AI 批量发现冷门漏洞依然有巨大价值，只是现在配套流程还没成熟；持怀疑观点的人提出，如果只追求漏洞数量，不控制报告质量，这种大规模扫描反而会伤害开源生态。
总的来说，Claude 这次挖出近 3.8 万漏洞这件事，证明大模型在代码漏洞检索上已经具备很强的批量发现能力，但它还没有形成从发现到落地修复的闭环，所谓 “管挖不管埋”，本质不是 Claude 故意不去修复，而是整条安全链路的人力、协作机制跟不上模型的产出速度。
【常见问题】
问题 1：Claude 挖出近 3.8 万个漏洞对应的项目叫什么，现状为什么被吐槽管挖不管埋？
回答 1：Claude 这批近 3.8 万候选漏洞来自玻璃翼计划 Project Glasswing，被吐槽管挖不管埋，是因为 AI 检出速度极快，但只有极少数漏洞最终完成修复，大量报告堆积、核验推进缓慢。
问题 2：Claude 扫描出来的这 3.8 万条漏洞，是不是全部都是真实可利用安全漏洞？
回答 2：并不是，Claude 输出的是候选漏洞，里面包含大量误报、重复条目，需要安全人员人工核验之后，才能确认是不是真正能够被利用的漏洞。
问题 3：为什么 Claude 漏洞挖掘之后，漏洞修复进度这么慢？
回答 3：Claude 只能完成扫描，后续核验、去重、联系开源维护者、提交补丁、代码合并都依赖人力，开源维护团队人手普遍紧张，跟不上 AI 批量产出报告的速度。
问题 4：Anthropic 打算怎么改善 Claude 漏洞挖掘管挖不管埋的问题？
回答 4：Anthropic 计划优化模型，降低假阳性，输出更可靠的补丁方案，依托 OSS Scanner 优化报告质量，减少无效噪音，降低人工核验和开源维护者的负担。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Project Glasswing tracking: thousands of findings, few patched）VulnCheck
[2026-10-08]（An opt-in vulnerability-finding service for open-source software）Anthropic 官方博客
[2026-10-06]（Frontier AI helps find vulnerabilities at scale）Anthropic
[2026-05-22]（Using LLMs to secure source code）Claude 官方文档
【免责声明】
本文为 Claude 玻璃翼计划漏洞挖掘资讯整理，候选漏洞、已修复数量以 VulnCheck 和 Anthropic 后续更新台账为准；AI 漏洞扫描结果不能直接等同于真实高危漏洞，漏洞是否可利用、补丁有效性需要专业安全人员独立验证；AI 漏洞挖掘工具仅作为辅助，不可以单独作为代码安全验收依据，本文不构成安全采购、代码审计方案建议。