Glasswing參與組織漏洞揭露量估增120%　13組織研究未見修補顯著延遲

Project Glasswing參與組織的公開漏洞揭露量，估計比中國企業比較組高約120%；研究也未發現受調查的供應商與Linux發行版出現統計上顯著的修補延遲。

倫敦瑪麗女王大學（Queen Mary University of London）研究者湯瑪斯・莫斯克（Thomas Mosk）在11月4日公開的預印本論文中，分析2025年10月至2026年9月的資料。研究比較13個與Project Glasswing相關的組織，以及267家中國企業。

論文估計，兩組的漏洞揭露量變化差距約為120%。若以參與組織接觸模型前每月平均揭露29件漏洞換算，相當於每個組織每月多公開約36件。

影響程度高於樣本中位數的漏洞揭露量，估計也比比較組高約150%。研究將「高影響」定義為：標準嚴重性評分中，漏洞對機密性、完整性或可用性的影響項目，高於2024年1月至2026年10月公開漏洞的中位數。

Anthropic於2026年4月7日公布Project Glasswing資安計畫。部分參與組織使用Claude Mythos Preview，尋找自家軟體與開源軟體中的漏洞。

參與組織並非隨機選出；作為比較組的中國企業也適用不同的漏洞揭露規定與慣例。此外，中國企業並非未使用AI的群體。因此，論文估計的是取得特定模型的組織與比較組之間的差異，而非AI使用的整體效果。

研究分別檢視供應商修補時間與Linux發行版發布修補程式的情況。供應商修補時間分析涵蓋通報至零日漏洞計畫（Zero Day Initiative，ZDI）的658件漏洞；修補程式發布分析則涵蓋Debian、Ubuntu、Red Hat與SUSE追蹤的14,855件漏洞。

兩種修補途徑都未顯示統計上顯著的延遲。發行版發布修補程式所需時間的中位數為1天；不過，研究無法排除90天內完成修補的比例可能降低約11個百分點。

研究觀察的是已公開的漏洞，以及可衡量的修補流程；未分析尚未公開漏洞的存量，也未確認終端使用者是否已安裝修補程式。

Anthropic在5月22日的更新中表示，約50個合作夥伴已找到逾1萬件高風險與重大漏洞。這是該公司統計的發現數，與實際公開的漏洞數，以及論文對13個組織樣本確認的揭露數，並非相同指標。

論文也區分新發現的漏洞，以及早已知悉但尚未公開的漏洞。從預留漏洞識別碼到對外公開的時間中位數，從模型開放前的75天降至開放後的22天，較符合新漏洞發現增加的情況。研究也指出，僅憑這段時間差，無法判定漏洞最初被發現的時間。

漏洞公開後一個月內遭實際利用的比例有所下降，但實際遭利用的漏洞件數並未出現統計上顯著變化。公開揭露增加可能拉低遭利用漏洞的占比，因此不能只憑比例下降就判定實際攻擊減少。

在虛擬資產領域，Project Loupe於7月22日公布一項針對7個比特幣（BTC）開源專案的測試結果。研究列出643項發現，其中51項與資安相關、10項被列為高風險以上，並有逾70項問題已完成修補。

Bitcoin Core在10月28日公布的3份資安公告中表示，Project Loupe的自動化大型語言模型（LLM）掃描發現了缺陷。修正已納入29.5、30.4、31.2與32.1版本。不過，公告指出，第三項缺陷仍可能影響32位元系統與FAT32儲存裝置。

找出漏洞並發布修補程式，與在實際運作環境中完成修復，是不同階段。