VulnCheck: Anthropic'in Glasswing'ine yedi ayda yaklaşık 38.000 bulgudan 217 düzeltme çıktı

VulnCheck, 7 Nisan'da başlatılan yapay zekâ destekli açık bulma girişimi Anthropic'in Project Glasswing'ine ilişkin yedi aylık bir değerlendirmeyi yayımladı ve vardığı sonuç açık sözlü: sonuçlar lansman anlatısıyla örtüşmüyor. VulnCheck'a göre bu yıl yayımlanan 93.450 CVE'den yalnızca 442'si Anthropic'e atfedilebilir, bu da kabaca yarım yüzdesel puan; ve bunlardan sadece ikisinin sahada istismar edildiği görülmüş.

Denetim nasıl yapıldı

VulnCheck, lansmandan kısa süre sonra 17 Nisan'da Anthropic'e atfedilen açıkları izlemeye başladı; CVE kayıtları, GitHub güvenlik duyuruları, Linux kernel commit'leri ve Anthropic'in kendi açıklama defterinden beslenen açık bir depo üzerinden, duyurulara yapılan manuel incelemelerle destekleniyor. Bu, ayda ortalama 63 Anthropic'e atfedilmiş CVE anlamına geliyor. VulnCheck, yalnızca seyrek toplu gruplar halinde güncellenen kendi defterinde Anthropic'in 217 düzeltilmiş açıklık listelemesinin iki katından fazla atfedilebilir CVE saydığını belirtiyor. İzlenen 442 CVE'den yalnızca CVE-2026-61500 ve CVE-2026-26980 VulnCheck'ın Known Exploited Vulnerabilities akışında yer alıyor, bu da yaklaşık yüzde 0,45.

Keşif, düzeltmenin çok önünde

VulnCheck'ın aktardığına göre defter rakamları, hata bulma ile düzeltme arasındaki uçurumun açıldığını gösteriyor. Mayıs ile 2 Kasım güncellemesi arasında toplam bulgu sayısı 23.019'dan 37.966'ya çıkarken, düzeltmeler yalnızca 217'ye yükseldi. Bulguların yalnızca 7.349'u, yüzde 19,4'ü kamuya açıklandı ve mükerrerler artık düzeltmeleri yediye bir oranını aşacak biçimde geçti: 1.654 bulgu mükerrer olarak işaretlendi, 419'u ise geri çekildi. VulnCheck'ın 8 Eylül'deki önceki kontrol noktasından bu yana Anthropic yaklaşık 12.000 bulgu ekledi ve yalnızca 15 ek düzeltme kaydederken, mükerrer sayısı ikiden 1.670'e sıçradı; VulnCheck bunu, bulgular ele alınmadan bekledikçe başka birinin onları önce düzeltme ihtimalinin arttığına dair bir kanıt olarak okuyor.

VulnCheck ayrıca defterin iddia edilen gerçek pozitif oranını da sorguluyor; geri çekmeler ve mükerrerler düzeltmelerden daha hızlı birikirken bu oran lansmandaki yüzde 90,8'den yüzde 94,2'ye yükseldi, bu da eleme sonuçlarının yayımlanan rakama yansımayabileceğine işaret ediyor. VulnCheck ayrıca, açıklanmış olarak görüntülenen bulgu sayısını şişiren görünürde bir hata bildiriyor.

Eleme darboğazı aşağıya kayıyor

Anthropic 8 Ekim'de self-servis OSS Scanner'ını başlattığında bu kısıtı kabul etti: 29.000'den fazla aday açıklık bulduğunu, ancak yalnızca yaklaşık 6.000'ini elle incelediğini, doğrulamanın mevcut insan kapasitesiyle sınırlı olduğunu söyledi. VulnCheck'a göre doğrulanmamış yaklaşık 5.000 rapor, her şeyi toplu halde almak isteyen maintainers'lara çoktan gitmiş durumda. Tarayıcının çıktısı insan incelemesi olmaksızın model tarafından üretiliyor ve Anthropic'in kendisi raporların hatalı veya geçersiz olabileceği konusunda uyarıyor; yani doğrulama darboğazı ortadan kalkmadı, Glasswing'in yardımcı olması amaçlanan maintainers'ların üzerine kaydı. VulnCheck'ın Eylül analizleri ayrıca bir ciddiyet farkı buldu: Claude, defterdeki bulguların yüzde 91,5'ini kritik veya yüksek olarak puanlarken, maintainers'lar yalnızca yüzde 51,3'ünü böyle puanladı.

curl bir gerçeklik kontrolü sunuyor

Denetim yayımlanmadan kısa süre önce curl maintainers'ı Daniel Stenberg, projenin Anthropic'ten 45 açıklık raporu aldığını, bunlardan birinin orta, geri kalanının düşük ciddiyette puanlandığını duyurdu. Şimdiye dek yayımlanan 34 rapordan 19'u açık değil olarak işaretlendi, altısı düşük ciddiyette doğrulandı ve dokuzu değerlendirilmeyi bekliyor. Bu, şimdiye kadar yüzde 55,9'luk bir yanlış pozitif oranı demek ve doğrulanan hiçbir sorun düşük ciddiyetin üstüne çıkmadı. Stenberg, raporları ekibindeki etkisini yumuşatmak için ölçülü bir hızla GitHub'a taşıyor. VulnCheck, bunun programla ilgili curl'ün ilk deneyimi olmadığına dikkat çekiyor: Mayısta Stenberg, önceki beş bulgunun tek bir doğrulanmış açıklığa denk geldiğini yazmıştı. VulnCheck, diğer maintainers'ları curl'ü örnek alıp这类 raporları açıkça yayımlamaya çağırıyor.

Neden önemli

Bu, ölçekli yapay zekâ destekli açık bulma konusunda ilk sürekli ve bağımsız veri kümelerinden biri ve Glasswing'in lansmanına eşlik eden, açıklamayı bekleyen binlerce yüksek ciddiyette hata iddialarını içeren pazarlama anlatısını karmaşıklaştırıyor. VulnCheck, yapay zekânın aday açıkları ortaya çıkarmada gerçekten yararlı olduğunu kabul ediyor; ancak şimdiye kadarki ölçülmüş sonuç, yılın CVE'lerinin ufak bir dilimi, neredeyse hiç sahada istismar edilmemiş açık, tıkanan düzeltmeler ve açık kaynak maintainers'larına yüklenen büyüyen bir inceleme yükü. Bu ayrıca Anthropic'i de aşan bir ölçüm sorunu gündeme getiriyor: kendi bildirdiği doğruluk oranları bağımsız doğrulamadan yoksunken ve curl'ünki gibi bir maintainers tarafından değerlendirilen grup raporların çoğunluğunu reddederken, üreticinin gerçek pozitif iddiaları şüpheyi hak ediyor. Açık kaynak projeler için pratik ders şu: opt-in yapay zekâ taraması, eleme zamanında gerçek ve ödenmemiş bir maliyetle geliyor.