Anthropic 玻璃翼计划争议解读，近 4 万候选漏洞仅 217 条公开修复

安全厂商 VulnCheck 跟踪统计显示，Anthropic 玻璃翼计划上线 7 个月，由 Claude Mythos 模型扫描产出的候选漏洞记录达到 37966 条，也就是接近 4 万条，但台账里标记为公开修复的只有 217 条，巨大的数量差引发行业质疑，大家争论的核心不是 AI 能不能挖出漏洞，而是这套 AI 漏洞挖掘体系是否给开源维护者带来过重负担、指标统计口径是否合理、实际安全收益有没有宣传的那么高，玻璃翼计划原本定位是集结谷歌、微软、AWS、英伟达等大厂，用最强漏洞挖掘大模型做防御侧安全扫描，提前找出操作系统、开源组件里的 0day，但是 AI 批量生成报告之后，去重、核验、沟通上游、推动补丁全靠人工，上游维护人力跟不上 AI 的产出速度，大量重复、误报报告堆给开源作者，反而造成维护者的工作量爆炸。两边统计口径本身就不一样，VulnCheck 拿公开台账的 “已修复” 条目来统计，Anthropic 官方则说有 629 条拿到上游补丁，很多补丁属于合作伙伴内部闭环、没有对外登记在公开台账里，同时还要剔除重复报告、人工核验无效误报，人工审核是整个链路最大瓶颈。整套项目运作流程分为几步，第一步调用 Mythos 模型对开源代码、系统组件批量扫描，输出候选漏洞记录；第二步安全审核团队做初筛，剔除明显误报、重复项；第三步把确认有效的漏洞报告提交给对应软件维护方，走负责任披露流程；第四步和维护者沟通漏洞细节、验证 POC，协助开发补丁；第五步补丁合入上游后，在台账标记修复，分配 CVE 编号；第六步持续沉淀扫描样本，迭代模型，降低后续误报率。这套流程里 AI 负责 “批量找可疑点”，但是验证、推动修复无法自动化，所以漏洞发现速度远远跑赢修复速度，争议也由此而来。

玻璃翼计划关键数据对比表

本次争议的核心质疑点清单

1. 产出与修复严重失衡：近两个月新增候选漏洞接近 1.2 万条，新增公开修复只有 15 条，缺口持续拉大。
2. 误报与重复报告挤占维护资源：以 curl 项目测试为例，34 条 AI 生成报告里 19 条根本不算漏洞，大量报告消耗开源维护者精力。
3. 真实阳性率统计存疑：官方宣称真实阳性率 94.2%，VulnCheck 认为该统计没有充分扣减重复、撤回条目，存在美化指标嫌疑。
4. 对开源维护者缺少配套扶持：AI 只管批量输出报告，没有配套资金、人力帮维护者快速验证和改代码，把核验压力全部转移给上游。
5. 实际被在野利用的漏洞极少：442 个 CVE 里面，仅有 2 个确认已经被黑客实际利用，外界质疑防御价值。

玻璃翼计划基础信息清单

1. 项目全称：Project Glasswing，中文叫玻璃翼计划，2026 年 4 月 7 日由 Anthropic 正式发布。
2. 核心模型：Claude Mythos Preview，主打代码审计、漏洞挖掘，能发现高危 0day 漏洞。
3. 参与伙伴：AWS、苹果、谷歌、微软、英伟达、思科、Linux 基金会等。
4. 项目初衷：把高危漏洞挖掘 AI 能力用于防御，在黑客利用之前提前发现、修复关键软件漏洞。
5. 扫描对象：主流操作系统、浏览器、广泛使用的开源库、基础设施软件。

落地避坑与客观边界要点

1. AI 漏洞挖掘不等于漏洞修复：模型只能定位可疑代码片段，无法自动完成补丁开发、回归测试、上游合并。
2. 两套数字并不完全冲突：629 条上游补丁包含很多企业合作伙伴内部闭环修复，不会全部录入公开台账，VulnCheck 只统计公开标记修复条目。
3. 开源维护人力是长期瓶颈：很多开源项目是志愿者维护，没有专职安全工程师，无法承接 AI 海量扫描报告。
4. 高阳性率不代表高可用：就算大部分是真漏洞，批量涌入的报告依然会淹没维护者，需要分级、限流、优先级排序机制。
5. 项目还在早期迭代：Anthropic 已经承认人工审核容量限制，后续计划优化报告过滤、分级推送机制，减少无效报告。

【常见问题】

问题 1：Anthropic 玻璃翼计划被质疑，为什么会出现近 4 万候选漏洞只修复 217 条的情况？

回答 1：Anthropic 玻璃翼计划被质疑，核心原因是 Mythos 模型批量扫描产出候选漏洞的速度极快，但漏洞核验、和上游维护者沟通、开发补丁都依赖人工，修复链路很慢；同时 VulnCheck 统计的是公开台账标记修复的 217 条，还有一部分补丁在合作伙伴内部闭环，不会录入公开台账。

问题 2：Anthropic 玻璃翼计划里面，VulnCheck 和 Anthropic 两边的数据口径差别在哪？

回答 2：VulnCheck 统计 Anthropic 玻璃翼计划，以对外公开台账标记 “已修复” 的 217 条为准；Anthropic 玻璃翼计划官方统计是经过人工审核、提交上游、拿到补丁一共 629 条，包含非公开闭环修复，二者统计范围不一样。

问题 3：Anthropic 玻璃翼计划里的候选漏洞、有效漏洞、已修复漏洞分别是什么意思？

回答 3：Anthropic 玻璃翼计划里候选漏洞是 AI 扫描输出的全部可疑代码片段，里面包含误报、重复；有效漏洞是人工核验确认真实存在的安全缺陷；已修复漏洞是上游维护者完成补丁合并、正式修复的漏洞。

问题 4：Anthropic 玻璃翼计划这次争议，对 AI 辅助漏洞挖掘这个方向意味着什么？

回答 4：Anthropic 玻璃翼计划这次争议说明 AI 辅助漏洞挖掘能快速产出大量可疑结果，但瓶颈不在扫描模型，而在人工核验、漏洞分发、上游维护协同；只追求挖洞数量，不配套报告过滤、维护者扶持机制，反而会拖累开源安全生态。

【参考资料】

[2026-11-12]（Anthropic 玻璃翼计划被质疑！近 4 万个候补漏洞，只修了 217 条）量子位

[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪

[2026-11-09]（After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings）VulnCheck

[2026-11-11]（Anthropic’s Project Glasswing Faces Growing Criticism as AI Vulnerability Findings Overwhelm Open-Source Maintainers）Undercode News

[2026-04-07]（Project Glasswing: Securing critical software for the AI era）Anthropic 官网

【免责声明】

本文为 Anthropic 玻璃翼计划产业争议资讯科普，VulnCheck 和 Anthropic 存在不同统计口径，相关漏洞数据、阳性率、补丁数量以对应主体官方最新披露为准；AI 漏洞挖掘技术本身存在误报、漏报，不可以直接把 AI 扫描结果作为漏洞判定唯一依据；内容不构成安全采购、漏洞扫描工具选型、开源项目安全评估的决策建议，漏洞披露与修复需要遵守负责任披露规范。