Anthropic 的玻璃翼计划（Project Glasswing）运行七个月后，Claude 一共挖出 37966 条候选漏洞，对外大家一般近似说成 3.8 万个漏洞，但是安全厂商 VulnCheck 统计发现，公开台账里标记完成修复的只有 217 条，出现了明显的 “能快速找到漏洞，修复跟进跟不上” 的情况，也被大家调侃成管挖不管埋。之所以会出现这个落差，一方面 Claude 擅长扫描代码、定位潜在缺陷，生成漏洞候选清单速度极快，但是漏洞核验、确认真伪、提交给开源维护者、编写补丁、合并上线，整套流程仍然要靠人工安全人员和开源项目维护者完成，AI 本身不会自动提交补丁、推动项目合并修复；另一方面开源项目维护人手紧张，短时间涌入上万条漏洞报告，根本来不及逐条审核处理，还有不少重复、误报的无效记录增加了工作量。项目最开始 Anthropic 拿出资金额度、安全捐款吸引大厂和开源社区参与，期待靠 Claude 快速提升开源软件安全水平，现在社区反馈压力很大，后续各方需要调整漏洞筛选、分级上报机制，优先处理高危漏洞，缓解维护者负担。
一、玻璃翼计划漏洞数据明细
- 总候选漏洞：37966 条（宣传口径约 3.8 万）
- 公开台账已修复：217 条
- 撤回无效漏洞：419 条
- 重复漏洞记录：1654 条
- 未录入公开台账记录：30637 条
- 近两个月新增候选漏洞：接近 12000 条，同期仅新增 15 条修复记录
二、漏洞处理完整流程清单
- Claude 扫描代码仓库，批量产出候选漏洞
- 安全专家人工复核，剔除误报、重复条目
- 有效漏洞提交给对应开源项目维护团队
- 维护者评估风险等级，决定是否修复
- 编写补丁、代码评审、合并上线
- 录入漏洞台账，标记为已修复
三、Claude 在漏洞环节的能力边界
✅ 擅长：大规模代码扫描、快速定位潜在缺陷、批量生成漏洞描述、辅助编写 POC 验证
❌ 不擅长：自动核验真假漏洞、自动生成稳定补丁、说服维护者合并补丁、跟进长期修复进度
简单来说：Claude 是漏洞侦察工具，不是全自动补丁修复机器人
四、社区遇到的核心痛点
- 漏洞上报量爆炸，维护者人力跟不上，报告堆积
- 大量低危、重复、误报漏洞，挤占高危漏洞处理资源
- 不同项目维护节奏不一样，很多小型开源项目没有专职安全人员
- 漏洞披露流程、通知渠道没有统一标准，沟通成本高
五、目前行业讨论的优化方向
- 增加 AI 前置过滤，优先输出高危、可信度高的漏洞，减少垃圾报告
- 做漏洞分级，严重漏洞优先推送，低危漏洞延后批量处理
- 配套自动补丁生成能力，给维护者直接提供可参考修复代码
- 建立漏洞跟踪看板，持续跟进、提醒对应项目维护人员
【相关 FAQ】
问题 1：Claude 挖到的 3.8 万个漏洞，是全部真实有效的漏洞吗？
回答 1：Claude 挖出的 3.8 万个漏洞是候选漏洞总数，里面包含误报、重复记录，经过专家复核之后，才会筛选出真实有效漏洞，并不是全部都属于可利用安全缺陷。
问题 2：Claude 挖出大量漏洞被说管挖不管埋，原因是什么？
回答 2：Claude 只能负责查找漏洞，没办法自动完成核验、写补丁、推动开源项目合并修复，漏洞修复环节依赖人工维护者，大量报告集中涌入，修复速度远远跟不上挖掘速度，所以被调侃 Claude 管挖不管埋。
问题 3：Claude 这 3.8 万个漏洞来自哪个项目？
回答 3：这批漏洞出自 Anthropic 推出的玻璃翼计划（Project Glasswing），Claude 在这个计划里扫描各类开源代码仓库，批量挖掘开源软件安全漏洞。
问题 4：Claude 挖出的漏洞里，现在已经修好多少条？
回答 4：VulnCheck 跟踪台账显示，Claude 挖出的近 3.8 万候选漏洞里，公开记录标记已经修复的只有 217 条，修复占比很低。
问题 5：Claude 以后能不能做到挖完漏洞自动修好？
回答 5：现阶段 Claude 还无法做到挖完漏洞自动修好，虽然它可以辅助生成补丁代码，但补丁评审、代码合并、上线发布，依然需要开源项目维护人员确认，暂时没法全自动闭环。
【参考资料】
[2026-11-12]（Claude 狂挖 3.8 万个漏洞，竟然管挖不管埋？）36 氪
[2026-11-12]（Claude AI Uncovered 38,000 Vulnerabilities: Shockingly, It Only Detects Flaws But Patches Zero Security Issues）36 氪英文站
[2026-10-29]（AI 当黑客初显身手：Claude 自主挖洞写利用，53 分钟拿下 Linux 最高权限）钛媒体
[2026-07-30]（Investigating three incidents in our cybersecurity evaluations）Anthropic 官网
【免责声明】
本文 Claude 挖掘 3.8 万漏洞相关内容，基于 VulnCheck 统计、36 氪公开报道以及 Anthropic 项目公告整理；漏洞数量、修复进度会持续动态更新，AI 漏洞挖掘结果仅作为安全参考，不可以直接当作正式漏洞评估报告，软件安全修复、漏洞处置请以项目官方和专业安全团队结论为准。
本文来自作者[瞬态捕帧人]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/itzx/202611/2756.html
评论列表（4条）
我是乌兰科技网的签约作者“瞬态捕帧人”！
希望本篇文章《Claude 挖出近 3.8 万候选漏洞，大量漏洞上报后迟迟未修复》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：Anthropic 的玻璃翼计划（Project Glasswing）运行七个月后，Claude 一共挖出 37966 条候选漏洞，对外大家一般近似说成 3.8 万个漏洞，但是安全厂商 VulnCheck 统计发现，公开台账里标记完成修复的只有 217 条，出现了明显的 “能快速找到漏洞，修复跟进跟不上” 的情况，也被大家调侃成管挖不管埋。之所以会出现这个落差，一方面 Claude 擅长扫描代码、定位潜在缺陷，生成漏洞候选清单速度极快，但是漏洞核验、确认真伪、提交给开源维护者、编写补丁、合并上线，整套流程仍然要靠人工安全人员和开源项目维护者完成，AI 本身不会自动提交补丁、推动项目合并修复；另一方面开源项目维护人手紧张，短时间涌入上万条漏洞报告，根本来不及逐条审核处理，还有不少重复、误报的无效记录增加了工作量。项目最开始 Anthropic 拿出资金额度、安全捐款吸引大厂和开源社区参与，期待靠 Claude 快速提升开源软件安全水平，现在社区反馈压力很大，后续各方需要调整漏洞筛选、分级上报机制，优先处理高危漏洞，缓解维护者负担。