Anthropic 漏洞計畫七個月 3.8 萬個發現，僅修復 217 個
漏洞情資公司 VulnCheck 近日發布對 Anthropic 資安計畫 Project Glasswing 的第三次追蹤分析。根據 Anthropic 自家公開帳本截至 11 月 2 日的數字，Glasswing 上線七個月共回報 37,966 個發現，公開的只有 7,349 個，約 19.4%，標記為已修復的只有 217 個。
Anthropic 4 月 7 日啟動 Glasswing 時表示，已找到「數千個高風險與嚴重等級的漏洞」，正以負責任的方式揭露給開源專案維護者。撰文的 VulnCheck 成員 Patrick Garrity 從 4 月中開始建立開源資料庫，逐一追蹤可歸功於 Anthropic 的漏洞。
兩個月新增近 1.2 萬個發現，修復只多 15 個
VulnCheck 比較 9 月 8 日與 11 月 2 日的帳本：總發現數從 26,153 個增加到 37,966 個，多了 11,813 個；已修復從 202 個增加到 217 個，只多 15 個；撤回的從 245 個增加到 419 個，被標記為重複的則從 2 個增加到 1,670 個。同一期間，帳本列出的真陽性率從 91.4% 上升到 94.2%。
廣告 - 內文未完請往下捲動
Garrity 認為，重複與撤回的數量都比修復多，真陽性率卻還在上升，代表帳本的分類方式可能沒有反映這些結果。他也追蹤到 442 個可歸功於 Anthropic 的 CVE 漏洞編號，約占今年全部 93,450 個 CVE 的 0.5%，其中只有 2 個被列入已遭實際利用的清單。
curl 收到的報告，一半以上被判定不是漏洞
VulnCheck 也引用開源下載工具 curl 的情況。curl 維護者 Daniel Stenberg 近日表示，專案收到 Anthropic 一批 45 份漏洞報告，Anthropic 自評其中 1 份是中度風險、其餘是低風險。截至分析發布時，已公開的 34 份中，19 份被判定不是漏洞，6 份確認為低風險，9 份仍在評估。
Garrity 的結論是，AI 確實是找漏洞的有用工具，但七個月的數字和 Glasswing 上線時的說法對不上，驗證工作也轉嫁到開源維護者身上。
Anthropic 先前已承認人工驗證是瓶頸
Anthropic 10 月 8 日推出開源專案自助掃描工具 OSS Scanner 時，在官方文章中說明，當時已找出超過 2.9 萬個疑似漏洞，但人工只審查了約 6,000 個，坦言受限於「人力驗證能力」；也已應部分維護者要求，批次寄出近 5,000 份未經驗證的報告。
Anthropic 也寫明，OSS Scanner 的報告「完全由模型產生，沒有經過人工審查或分類」，可能有錯誤或無效的內容，由專案維護者自行判斷。鏈新聞先前報導過這項計畫，見 Anthropic 用最強模型免費替開源專案掃漏洞。截至發稿，Anthropic 沒有公開回應 VulnCheck 這份分析。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
