Anthropic玻璃翼计划被质疑！近4万个候补漏洞，只修了217条
内容提要
Anthropic的“玻璃翼计划”利用Claude大规模挖掘漏洞，七个月内发现约3.8万条候选漏洞，但公开修复仅217条，审核严重滞后。开源维护者不堪重负，curl维护者表示“别被淹死”。AI生成补丁虽可行，却因审核成本高且易引入新问题而难以被采用。相关报告还带有VulnCheck自家服务的宣传色彩。
延伸解读
数据口径差异：修复数为何对不上
VulnCheck统计的217条修复与Anthropic官方披露的629项上游补丁存在明显差距，这源于双方对“修复”的定义和追踪范围不同。VulnCheck可能仅统计公开漏洞披露台账中标记为已修复的条目，而Anthropic则涵盖更广泛的内部审核和报告流程。读者需注意，这种差异并不一定意味着某一方数据有误，而是反映了漏洞修复生态中缺乏统一度量标准的问题。
开源维护者的现实困境：审核负担与规则调整
curl维护者Daniel Stenberg的案例揭示了AI漏洞挖掘带来的实际压力：大量报告涌入，但多数并非真正高危漏洞。curl公开的34份报告中，19份被判定不构成安全漏洞，6份为低危。为此，curl调整了处理规则，将低危、中危漏洞转为公开讨论，借助社区力量分担审核。这反映了开源项目在AI时代面临的新挑战：如何平衡漏洞报告的及时处理与有限的人力资源。
AI补丁的采用难题：生成易，审核难
尽管Anthropic已让AI生成候选补丁，但开源项目采用率低。核心问题在于审核AI补丁的工作量有时堪比重写代码，且AI修复可能引入新问题，形成“修一添十”的循环。开发者指出，AI擅长添加逻辑，却不擅长移除冗余，导致补丁复杂度上升。因此，即使AI能快速生成修复，人类维护者仍需投入大量精力验证，这限制了AI补丁的实际落地。
报告背后的商业动机：VulnCheck的立场
VulnCheck的报告虽基于追踪数据，但其批评玻璃翼计划审核滞后的角度，恰好与其自身提供的漏洞情报和优先级管理服务高度契合。读者在解读数据时，需留意报告可能带有推广自家服务的倾向。这并非否定数据真实性，而是提醒我们，在AI安全工具的评价中，商业利益可能影响叙事框架，应结合多方信息综合判断。
Q&A
Anthropic的玻璃翼计划是什么？
玻璃翼计划是Anthropic于今年4月推出的项目，旨在利用Claude大规模挖掘关键软件及开源项目中的安全漏洞，并联合科技企业、开源维护者推动漏洞修复，抢在被利用之前消除安全隐患。
玻璃翼计划目前挖出了多少漏洞？修复了多少？
截至11月初，Claude累计挖出37966条候选漏洞，但公开记录中仅217条被修复。此外，漏洞撤回项419条，重复项高达1654条。
为什么AI挖出的漏洞修复率这么低？
主要原因是人工审核能力严重瓶颈。AI挖漏洞强度大，但人工验证和修复速度跟不上，导致大量候选漏洞积压。Anthropic也承认人工验证限制了审核与披露效率。
开源维护者如何应对大量AI生成的漏洞报告？
开源维护者不堪重负。例如curl维护者Daniel Stenberg修改了安全漏洞处理规则，将低危、中危漏洞改为在GitHub上公开讨论，让更多社区开发者帮忙审核，目标是“别被淹死”。
Anthropic如何解决人工审核瓶颈？
10月8日，Anthropic推出OSS Scanner服务，开源项目维护者可主动报名让Claude免费扫描代码，模型生成的漏洞报告直接发给维护者，无需等待Anthropic组织人工审核。
为什么AI不直接生成补丁来修复漏洞？
虽然AI生成候选补丁不难，但开源项目采用意愿低。审核AI补丁的工作量有时相当于重写，且AI修复可能引入新问题，修好一个Bug又带来十个新问题。
VulnCheck的报告是否客观？
报告带有VulnCheck自家服务的宣传色彩，因为它批评的玻璃翼问题恰好与VulnCheck提供的漏洞情报、优先级管理服务高度契合。
