安全厂商 VulnCheck 发布跟踪报告，直指 Anthropic 的玻璃翼计划（Project Glasswing）出现严重的发现与修复失衡，项目上线七个月，由 Claude Mythos Preview 产出的候选漏洞总数达到 37966 条，接近四万，但台账标记已经修复的只有 217 条，巨大落差让不少安全研究者和开源维护者质疑这个项目是不是只擅长批量挖掘漏洞，缺少配套闭环修复能力；玻璃翼计划刚推出的时候声势很大，苹果、谷歌、微软、AWS、英伟达等巨头陆续加入，对外宣传依靠 Mythos 自主挖掘大量零日漏洞，提升全球基础软件安全性，可现在随着候选报告持续涌入，人工审核、上游维护者处理速度完全跟不上 AI 生成报告的速度，大量重复、待核验、被撤回的报告堆积，开源维护者被海量未经筛选的漏洞报告压得不堪重负。整个项目链路是先用 Mythos 扫描代码批量产出候选漏洞，再交给外部安全人员做核验，确认有效之后转发给对应软件上游维护团队，维护者评估之后再提交补丁、标记修复；为了缓解压力，Anthropic 上线 OSS Scanner，允许开源项目主动报名接收扫描报告，但这套机制把核验负担转移给了项目维护者，进一步放大争议，后续如果不能解决人工瓶颈、降低无效报告数量，玻璃翼计划很难兑现最初提升全球基础软件安全的承诺。
一、项目基础信息
- 项目名称：Project Glasswing，玻璃翼计划
- 启动时间：2026 年 4 月
- 核心模型：Claude Mythos Preview，主打自主挖掘零日漏洞
- 初始定位：联合各大科技企业，扫描操作系统、浏览器、开源基础设施代码，批量发现并推动修复高危漏洞
- 配套投入：初始承诺投入 1 亿美元模型额度、400 万美元开源安全捐赠
- 参与伙伴：微软、谷歌、苹果、AWS、英伟达、思科、Linux 基金会等
二、VulnCheck 统计核心数据（截至 11 月 2 日）
| 统计项目 | 数值 |
|---|---|
| AI 产出候选漏洞总数 | 37966 条 |
| 对外公开的发现记录 | 7349 条 |
| 台账标记已修复 | 217 条 |
| 标记重复漏洞 | 1654 条 |
| 主动撤回报告 | 419 条 |
| 归属该项目 CVE 编号总量 | 442 个 |
| 近两个月新增候选漏洞 | 约 11813 条 |
| 近两个月新增修复数量 | 15 条 |
三、双方口径差异说明
- VulnCheck 视角：候选漏洞增长速度远高于修复，重复和撤回条目数量远超已修复数量，同时官方宣称 94.2% 的真阳性率，和部分开源维护者实测不符，比如 curl 在收到的报告里大量被判定不是漏洞，质疑真阳性统计方式
- Anthropic 官方口径：在全部候选里面，共有 6376 条经过外部安全专家审核，其中确认有效为 6009 条，已经向维护者提交 5087 条，上游拿到补丁的为 629 条；官方认为瓶颈不是模型，而是人工审核、上游维护人力不足，AI 只是负责发现，修复责任在软件维护方
- 关键区分：台账 “标记修复” 和上游拿到补丁不是同一个指标，VulnCheck 采用公开台账标记作为统计标准
四、业内主要质疑清单
- 修复闭环缺失：AI 高速批量输出漏洞报告，但是缺少足够人力做前置过滤，维护者被海量报告淹没
- 统计口径争议：真阳性率计算方式不透明，大量重复、无效报告没有纳入负面样本统计
- 负担转移：OSS Scanner 将筛选核验压力交给开源维护者，很多小型开源团队没有人力处理
- 实际产出有限：项目七个月产出的 CVE 仅占 2026 全年公开 CVE 的 0.5%，野外被利用的仅有 2 个
- 预期落差：前期宣传把 Mythos 塑造成颠覆网络安全的工具，实际落地修复成果远低于公众预期
五、Anthropic 当前应对措施
- 推出 OSS Scanner：开源项目维护者自主申请开启扫描，按需接收漏洞报告，而不是无差别推送
- 扩充外部安全审核团队：增加人力对 AI 输出报告做前置筛查，减少重复、误报流向上游
- 调整披露节奏：区分高风险零日和普通缺陷，优先推动高危漏洞的沟通与补丁落地
- 持续迭代 Mythos：降低假阳性、减少重复发现，提升报告质量，减少维护者核验成本
【相关 FAQ】
问题 1：被质疑的 Anthropic 玻璃翼计划，为什么会出现近四万候补漏洞只修好 217 条的情况？
回答 1：Anthropic 玻璃翼计划依靠 Claude Mythos Preview 快速批量产出候选漏洞，但是人工审核、上游开源维护团队的处理速度跟不上 AI 的产出速度，大量报告还处在核验、沟通、等待补丁阶段，同时存在不少重复和无效报告，公开台账里最终标记完成修复的只有 217 条。
问题 2：参与 Anthropic 玻璃翼计划的 Claude Mythos Preview，本身定位是什么？
回答 2：Claude Mythos Preview 是 Anthropic 专门为玻璃翼计划打造的安全模型，主打自主扫描代码、挖掘传统工具很难发现的零日漏洞，能够自主生成漏洞利用思路，但模型本身不负责完成代码补丁落地。
问题 3：VulnCheck 质疑 Anthropic 玻璃翼计划的时候，重点对哪一项官方数据提出不同意见？
回答 3：VulnCheck 在质疑 Anthropic 玻璃翼计划时，重点对官方公布的高达 94.2% 的真阳性率提出疑问，结合 curl 等开源项目反馈，认为统计方式没有充分计入大量重复、撤回、被维护者否决的报告。
【参考资料】
[2026-11-10]（After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings）VulnCheck
[2026-11-12]（Anthropic 玻璃翼计划被质疑！近 4 万个候补漏洞，只修了 217 条）量子位
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）凤凰网科技
[2026-11-12]（Claude AI Uncovered 38,000 Vulnerabilities: Shockingly, It Only Detects Flaws But Patches Zero Security Issues）36 氪
[2026-10-08]（An opt-in vulnerability-finding service for open-source software）Anthropic
[2026-06-02]（Expanding Project Glasswing）Anthropic
[2026-04-07]（Project Glasswing: Securing critical software for the AI era）Anthropic
【免责声明】
本文整理的 Anthropic 玻璃翼计划相关数据，分别来自 VulnCheck 的跟踪博文以及 Anthropic 官方发布公告；不同机构采用的统计口径不一样，“候选漏洞、有效漏洞、拿到补丁、标记修复” 属于不同阶段指标，不能直接等同；玻璃翼计划仍在持续运行，报告数量、修复记录会随上游维护进度动态变化；AI 漏洞挖掘属于前沿安全方向，模型能力、报告质量、披露流程还在持续调整，文中质疑仅为行业第三方观点，不代表对该项目最终定性。