AI coding · 七个月的对账单：AI 找漏洞的速度，把修漏洞的队伍甩出了视野

今年 4 月 7 日，Anthropic 启动 Glasswing：用 AI 扫开源代码找安全漏洞，号称发现数千个高危项，负责任地披露给维护者。叙事很动人——漏洞多到人类翻不过来，如今有台不知疲倦的机器替全宇宙翻代码。

11 月 10 日，VulnCheck 贴出七个月的对账单，底稿是 Patrick Garrity 的持续追踪。被归到 Anthropic 名下的 CVE：442 个，平均每月 63 个，约占今年 93,450 个 CVE 的 0.5%；其中在野外被实际利用的：2 个，约 0.45%。披露台账从 5 月的 23,019 条涨到 37,966 条，走完公开流程的只有 19.4%，标记已修复的：217 条。

近两个月还在加速。9 月 8 日到 11 月 2 日，台账新增约 11,813 条发现，新增修复：15 条。重复报告从 2 条涨到 1,670 条，约为同期修复数的 7.5 倍；另有 419 条被撤回。同一时段，Anthropic 自报的置信率从 90.8% 上调到 94.2%——VulnCheck 的判读很直接：台账里缺一个把撤回与重复反馈回去的闭环，数字在自说自话。

最有说服力的样本是 curl。10 月 8 日 Anthropic 上线自助 OSS 扫描器，报告全部由模型生成，不做人工复核。curl 收到 45 份；已公开的 34 份里，19 份被判非漏洞（55.9%），确认的 6 份全部低危（17.6%），剩下 9 份待定。维护者 Daniel Stenberg 不得不控制公开节奏来保护团队——此前 5 份高调报告，他核对后发现指向同一个真 bug。严重度口径也有落差：Claude 给约 91.5% 的发现标了 critical 或 high，维护者只认其中 51.3%。

这份对账单真正的注脚，写在 AI coding 的通用账本上：生成的成本塌了，验收的成本原地没动。机器一晚上能提名一千个疑点，人类专家还是那几位。闸门开到最大时，第一个被淹的社区，恰好是替整个互联网扛基础设施的那群人。VulnCheck 的结尾保持了礼貌：AI 找漏洞是真有用的，七个月过去，账还没对上。收据还在源源不断地寄到，只是每一张都对不上总数。