一句话看懂：安全公司VulnCheck追踪Anthropic漏洞发现项目Glasswing七个月，发现其自报37,966项发现中仅217项标记修复，且重复与撤回数量远超修复量，项目实际安全价值与宣传口径之间存在明显落差。
事件核心：发生了什么
2026年4月7日，Anthropic启动Project Glasswing，宣称利用AI发现大量高危漏洞并负责任地披露给开源维护者。VulnCheck从4月17日开始在开源仓库中追踪相关CVE，截至11月共归因到442个CVE，约占今年全部93,450个CVE的0.5%，平均每月63个。其中仅2个（CVE-2026-61500和CVE-2026-26980）被记录为已遭野外利用。
Anthropic自己的披露账本在11月2日更新显示：37,966项发现中，仅7,349项（19.4%）公开，217项标记修复；已有1,654项被标为重复，419项撤回。9月到11月新增近12,000项发现，但只多修复15项，重复项则从2项增至1,670项。
为什么重要
Glasswing是前沿大模型公司直接介入安全漏洞发现与披露的标志性项目，其数据的可信度会影响整个AI安全叙事。VulnCheck指出，Anthropic声称的真实正例率从90.8%升至94.2%，但重复和撤回数量均超过修复量，这一指标如何计算尚不清楚。此外，其OSS Scanner把验证工作转给开源维护者，curl项目将34份公开报告中19份驳回、确认6份为低危、9份待评估，进一步引发对真实正例率的质疑。目前公开信息显示，AI找漏洞有效，但“发现多、修复少”的瓶颈仍然存在。
对用户/开发者/创作者的影响
对开源维护者而言，AI批量生成的漏洞报告可能带来额外审查负担，需要更明确的披露过滤与分级机制。对使用Anthropic API或安全工具的企业，应关注其漏洞数据的可靠性，而不是将“发现数量”直接等同于风险降低。对开发者来说，值得留意AI安全工具在误报率与验证责任上的实际表现。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是Anthropic是否公开真实正例率的计算口径，并区分重复、撤回与修复；二是下一批账本更新中修复数能否跟上发现数；三是curl等开源项目对OSS Scanner报告的后续评估结果，是否会形成行业通用的AI漏洞披露规范。
