Glasswing: 37.966 Claude-Funde, nur 217 als behoben markiert

Sieben Monate nach dem Start von Project Glasswing durch Anthropic hat die Sicherheitsfirma VulnCheck ein November-Update veröffentlicht, das die Ergebnisse infrage stellt. Laut VulnCheck führte Anthropics öffentliches Offenlegungsregister am 2. November 2026 insgesamt 37.966 Schwachstellen-Kandidaten, von denen nur 217 als behoben markiert waren. Das chinesische Medium QbitAI griff den Bericht am 12. November 2026 auf.

Project Glasswing ist ein Programm von Anthropic, das am 7. April 2026 startete und mit Claude-Modellen Sicherheitslücken in kritischer Software und Open-Source-Projekten aufspürt, um sie anschließend den Maintainern zu melden. Eine „Kandidaten-Schwachstelle“, auch Fund genannt, ist ein vom Modell erzeugter Fehlerbericht, der nicht zwingend von einem Menschen oder den Maintainern des Projekts bestätigt wurde. Eine CVE ist die öffentliche Kennung einer bestätigten Schwachstelle.

Was zeigen die Glasswing-Zahlen tatsächlich?

• 37.966 Funde im Register von Anthropic am 2. November, gegenüber 23.019 beim Start des Registers im Mai, laut VulnCheck.
• Nur 7.349 Funde (19,4 %) wurden veröffentlicht, 217 sind als behoben markiert, laut VulnCheck.
• 1.654 Funde (4,4 %) sind als Duplikate markiert, rund 7,5-mal mehr als Behebungen, und 419 wurden zurückgezogen, laut VulnCheck.
• Seit September hat Anthropic fast 12.000 Funde hinzugefügt, aber nur 15 zusätzliche Behebungen verzeichnet, laut VulnCheck.
• VulnCheck verfolgt 442 CVEs, die Anthropic zuzuschreiben sind, etwa 0,5 % der 93.450 im Jahr 2026 veröffentlichten CVEs, und nur 2 davon (0,45 %) stehen in seinem Katalog tatsächlich ausgenutzter Schwachstellen.

VulnChecks eigene Zählung von 442 CVEs liegt mehr als doppelt so hoch wie die 217 Behebungen im Register von Anthropic, weil VulnCheck auch CVE-Einträge, GitHub-Advisories und Linux-Kernel-Commits zählt, die Anthropic zugeschrieben werden, und nicht nur das Register.

Was sagt Anthropic zu den eigenen Zahlen?

Laut QbitAI, das sich auf Anthropics eigene Offenlegungsdaten beruft, waren bis zum 2. November 6.376 der 37.966 Funde von externen Sicherheitsexperten geprüft worden. Davon wurden 6.009 als gültig eingestuft, 5.087 waren an Software-Maintainer gemeldet und 629 hatten einen Patch im Upstream-Projekt erhalten. QbitAI weist darauf hin, dass die Zählweisen abweichen, was erklärt, warum Anthropics 629 Patches nicht zu den 217 Behebungen von VulnCheck passen.

VulnCheck zweifelt außerdem die angegebene Trefferquote an, die von 90,8 % auf 94,2 % stieg, obwohl mehr Funde zurückgezogen oder als Duplikate markiert als behoben wurden. Die Firma vermutet, dass Sichtungsquoten als echte Treffer gezählt werden.

Anthropic räumt den Engpass selbst ein. In der Ankündigung seines OSS Scanner vom 8. Oktober, zitiert von VulnCheck, erklärte das Unternehmen, es habe mehr als 29.000 Kandidaten gefunden, aber nur etwa 6.000 manuell geprüft, und sei weiter „durch unsere menschliche Kapazität zur Validierung dieser Funde ausgebremst“. VulnCheck ergänzt, dass bereits fast 5.000 ungeprüfte Berichte an Maintainer gegangen waren, die alles gesammelt angefordert hatten.

Warum geraten Open-Source-Maintainer unter Druck?

Der OSS Scanner erlaubt es Open-Source-Maintainern, einen kostenlosen Scan ihres Codes anzufordern und die Ergebnisse selbst zu sichten. Laut VulnCheck beschreibt Anthropic diese Berichte als „vollständig modellgeneriert, ohne menschliche Prüfung oder Sichtung“ und warnt, dass sie falsch sein können. VulnCheck folgert, dass der Engpass bei der Sichtung nicht verschwunden ist, sondern zu den Maintainern wanderte.

Das Projekt curl liefert ein konkretes Beispiel. VulnCheck berichtet, dass der curl-Maintainer Daniel Stenberg Anfang November einen Stapel von 45 Berichten von Anthropic ankündigte, von denen Anthropic nur einen als mittelschwer und die übrigen als geringfügig einstufte. Von den bisher veröffentlichten 34 Berichten wurden 19 als keine Schwachstelle beurteilt, 6 als geringfügig bestätigt und 9 warteten noch auf Bewertung, was VulnCheck zum jetzigen Stand als Falsch-Positiv-Rate von 55,9 % berechnet.

Laut QbitAI änderte Stenberg die Regeln von curl so, dass Berichte mit geringem und mittlerem Schweregrad öffentlich auf GitHub diskutiert werden, damit mehr Entwickler der Community bei der Prüfung helfen. QbitAI erinnert außerdem daran, dass Claude im September half, in curl einen schweren Speicherfehler vom Typ Use-after-free aufzudecken, den Stenberg als eine der schwersten curl-Schwachstellen seit Jahren bezeichnete. In einer weiteren Prüfung stellte VulnCheck im September fest, dass Claude 91,5 % der Registerfunde als kritisch oder hoch einstufte, die Maintainer dagegen nur 51,3 %.

Kann man den VulnCheck-Bericht unbesehen übernehmen?

Nicht ganz. QbitAI weist darauf hin, dass VulnCheck Dienste für Schwachstellen-Intelligence und Priorisierung verkauft, die genau zu den Problemen passen, die der Bericht kritisiert. VulnCheck selbst schreibt, KI sei ein wirksames Werkzeug zum Auffinden von Schwachstellen und das stelle man nicht infrage. Außerdem heißt es, Anthropics Register werde nur in seltenen Sammelschüben aktualisiert und enthalte offenbar einen Fehler, der die Zahl der als offengelegt gezeigten Funde aufbläht.

Anthropics Reaktion auf den VulnCheck-Bericht steht in keiner der beiden gelesenen Quellen und bleibt daher unbekannt. Auch die Frage automatischer Fixes ist offen: Laut QbitAI erzeugt Anthropic bereits Patch-Kandidaten, doch vom Medium zitierte Entwickler sagen, die Prüfung eines KI-Patches könne fast so lange dauern wie das Selbstschreiben und zusätzliche Komplexität einbringen.

Was das für ein Unternehmen ändert

Für ein deutsches Unternehmen, das von Open-Source-Komponenten wie curl abhängt, ist die von einem KI-Anbieter genannte Zahl an Funden nicht die Zahl der zu behebenden Risiken. Fragen Sie Lieferanten, wie viele Funde bestätigt und wie viele in welcher Version behoben sind, statt sich auf Kandidatenzahlen zu verlassen. Priorisieren Sie das Patchen anhand von Ausnutzungsdaten, denn laut VulnCheck sind nur 2 der 442 verfolgten CVEs als tatsächlich ausgenutzt bekannt. Wenn Ihr Team Open-Source-Code pflegt, planen Sie menschliche Zeit für die Sichtung KI-generierter Berichte ein, bevor Sie einen kostenlosen Scan annehmen.