3.8 万漏洞仅修 217：Anthropic AI 扫码效率遭质疑

据 Woofun AI 消息， 的 漏洞披露计画在运行七个月后，其公开帐本呈现出极端的数据不对称：总计回报 37,966 个安全发现，但被标记为"已修复"的仅有 217 个。

这一结果与该计画于 4 月 7 日启动时的承诺形成鲜明对比，当时 Anthropic 宣称已发现"数千个高风险与严重等级漏洞"，并承诺以负责任的方式协助开源专案维护者进行修复。

然而，截至 11 月 2 日的数据显示，在总发现数中，仅有 7,349 个（约 19.4%）被公开，绝大多数发现处于未公开或未处理状态，引发外界对其自动化扫描工具实际效能与后续支援能力的强烈质疑。

这种"高发现、低修复"的现象，不仅暴露了 AI 驱动的安全扫描在落地执行层的断层，也揭示了开源生态在面对海量自动化报告时的无力感。

Woofun AI 整理数据显示， 对该计画的第三次追踪分析揭示了更为严峻的趋势。通过对比 9 月 8 日与 11 月 2 日的帐本数据，短短两个月内，总发现数从 26,153 个激增至 37,966 个，新增 11,813 个；

然而，已修复数量仅从 202 个微增至 217 个，增量仅为 15 个。与此同时，撤回报告从 245 个增加至 419 个，重复报告更是从 2 个暴增至 1,670 个。

尽管帐本列出的真阳性率从 91.4% 上升至 94.2%，但 VulnCheck 成员 指出，重复与撤回数量的增长远超修复数量，这表明帐本的分类逻辑可能未能真实反映这些结果的实质意义。Garrity 还追踪到 442 个可归功于 Anthropic 的 CVE 漏洞编号，占今年全部 93,450 个 CVE 的 0.5%，其中仅有 2 个被列入已遭实际利用的清单，进一步印证了这些发现多为理论风险或低价值噪声。更典型的案例来自开源下载工具 ，其维护者 表示，专案收到 Anthropic 发送的 45 份漏洞报告，其中仅 1 份被自评为中度风险，其余均为低风险。在已公开的 34 份报告中，高达 19 份被判定并非漏洞，6 份确认为低风险，仅有 9 份仍在评估中，这意味着超过一半的报告最终被证明是无效的。

Anthropic 自身也承认了这一结构性瓶颈。在 10 月 8 日推出开源专案自助扫描工具 时，Anthropic 在官方文章中坦言，当时已找出超过 2.9 万个疑似漏洞，但人工仅审查了约 6,000 个，明确指出受限于"人力验证能力"。为了应对积压，公司已应部分维护者要求，批次寄出近 5,000 份未经验证的报告。Anthropic 强调，OSS Scanner 的报告"完全由模型产生，没有经过人工审查或分类"，可能存在错误或无效内容，并明确将判断责任转嫁给专案维护者。

这种策略虽然减轻了 Anthropic 自身的运营负担，却将巨大的验证成本转移给了本就资源匮乏的开源社区。Garrity 的结论直指核心：AI 确实是寻找漏洞的有力工具，但七个月的实际数据与 Glasswing 上线时的宏大叙事严重脱节，验证工作的转嫁使得开源维护者疲于奔命，而非获得实质的安全增强。截至发稿，Anthropic 尚未对 VulnCheck 的这份分析做出公开回应，这使得外界对其未来改进方向充满不确定性。