这次 Anthropic 玻璃翼 Glasswing 安全项目爆出 37966 条候选漏洞、公开台账标记修好 217 条，两个数字差距巨大但两边都没有造假，核心原因就是 VulnCheck 和 Anthropic 对 “修复” 的定义、统计范围完全不一样，一个只统计公开台账里正式标注完成修复的条目，一个统计上游维护者已经合入补丁的漏洞，这件事直观暴露了 AI 漏洞扫描能力暴涨之后，人工审核、开源维护者处理速度跟不上漏洞上报速度的行业瓶颈，Mythos 模型可以大批量扫出候选漏洞，但是从候选漏洞、人工核验、通知维护者、到最终打上修复标签，整条链路很慢，积压了海量待处理漏洞数据。Glasswing 项目是 Anthropic 用 Mythos 模型做开源软件漏洞挖掘的专项计划，7 个月累计产出 37966 条 AI 初筛候选漏洞，这些候选漏洞里面包含大量重复、误报、待核验内容，不是全部真实有效漏洞；VulnCheck 去清点公开协同披露台账，统计到公开条目里只有 217 条标记为已修复；Anthropic 官方统计口径是有 629 条拿到上游补丁，这两个数字都真实，只是统计节点和判定标准不一样，不是一方虚报数据。整个流程是 AI 先批量输出候选漏洞，再交给外部安全厂商复核，确认有效之后发给开源项目维护者，维护者收到之后还要评估、排期、写补丁、合并代码，最后才会在台账更新修复状态，很多上游补丁已经写完合入，但台账还没有同步标记为修复，就造成了数字差异。
一、两套统计口径对比
| 统计方 | 统计的修复数量 | 判定规则 |
|---|---|---|
| VulnCheck | 217 条 | 只统计公开漏洞台账里，状态明确标记为已修复的条目 |
| Anthropic 官方 | 629 条 | 统计上游开源维护者已经完成补丁合并、拿到有效补丁的漏洞 |
二、37966 条候选漏洞的分层流转明细
- 全部候选发现：37966 条（AI 模型直接输出，包含误报、重复漏洞）
- 进入公开台账：7349 条，仅占全部候选的 19.4%
- 公开台账内有效唯一漏洞：5276 条
- 重复条目：1654 条，多条 AI 发现指向同一个漏洞
- 被撤回条目：419 条，维护者复核后判定不是漏洞
- 已经通知维护者：4866 条
- 待披露、待处理：193 条
- 台账标记修复：217 条
三、漏洞流转全流程
- Mythos 模型自动扫描代码，批量产出候选漏洞记录
- 交给合作外部安全厂商人工复核，剔除误报，计算真实阳性率，当前复核样本真实阳性率 94.2%
- 确认有效漏洞，按协同披露规则通知对应开源项目维护者
- 维护者评估漏洞危害，安排开发补丁
- 补丁合并进代码仓库（Anthropic 统计为 629 条上游补丁）
- 同步更新公开披露台账状态，台账标记修复（VulnCheck 统计 217 条）
四、项目暴露出来的核心瓶颈
- AI 挖掘速度远快于人工审核和上游修复速度，两个月新增 11813 条候选漏洞，修复只新增 15 条，缺口持续拉大
- 开源维护者人手不足，短时间收到大量漏洞报告，处理压力过载
- 台账状态更新滞后，补丁合入和台账标记修复不同步，造成数字偏差
- 大量候选漏洞是重复报告，占用审核人力，降低处理效率
五、整件事最终结论
Anthropic Glasswing 项目 37966 条候选漏洞、台账 217 条标记修复，数据差异来自两套不同统计口径，双方都没有算错；AI 漏洞挖掘能力已经实现量级提升，但整个漏洞处置链路的人工审核、上游维护、台账同步流程是明显短板，未来想要发挥 AI 漏洞挖掘价值，必须配套自动化去重、分级上报、台账自动同步机制。
【常见问题】
问题 1：Anthropic 挖出 37966 条候选漏洞，台账修好 217 条，是不是 Anthropic 夸大漏洞挖掘成果？
回答 1：不是，Anthropic 挖出 37966 条候选漏洞、台账修好 217 条两边都没算错，只是统计口径不一样，37966 是 AI 初筛候选总量，217 是公开台账标记修复数量，官方 629 条是上游补丁数量，不存在夸大造假。
问题 2：Glasswing 项目里 37966 条候选漏洞，全部都是真实有效的安全漏洞吗？
回答 2：不是，37966 条是 Mythos 输出的候选漏洞，里面包含误报、重复漏洞，需要外部安全厂商人工复核，复核样本真实阳性率 94.2%，不是全部有效。
问题 3：VulnCheck 统计 217 条修复，和 Anthropic 说的 629 条上游补丁为什么不一样？
回答 3：VulnCheck 统计 217 条是台账打上修复标记的条目，Anthropic 统计 629 条是上游已经合并补丁的漏洞，补丁合入之后台账不一定同步更新状态，判定标准不同所以数字不同。
问题 4：造成 37966 条候选漏洞和 217 条修复差距持续拉大的核心原因是什么？
回答 4：AI 产出候选漏洞速度极快，但是人工核验、开源维护者开发补丁、台账更新都是慢环节，AI 挖掘速度远远超过整条漏洞处置链路的处理速度，缺口持续扩大。
【参考资料】
[2026-11-13]（Anthropic 挖出 37966 条候选漏洞，台账上修好的 217 条：两边都没算错）腾讯云开发者社区
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-11]（38,000 AI-found vulnerabilities, 217 fixed: auditing Glasswing, Anthropic's bug-discovery machine）DEV Community
[2026-11-02]（Anthropic 协同漏洞披露仪表盘）Anthropic Frontier Red Team
【免责声明】
本文数据基于 VulnCheck 跟踪报告、Anthropic 公开漏洞台账整理，37966 条候选漏洞、217 条台账修复、629 条上游补丁为截至 11 月 2 日的统计快照；漏洞台账状态会持续更新，不同统计口径会带来数值差异，本文仅用于安全行业技术科普，不代表漏洞风险评级和安全验收结论。