7 Bulan Glasswing: 442 CVE, Hanya 2 Dieksploitasi
Judul asli: Tracking Anthropic-discovered vulnerabilities
Mengapa Ini Penting
Transparansi klaim AI security tool perlu diuji data nyata, bukan siaran pers.
Tujuh bulan setelah peluncuran Project Glasswing, VulnCheck melacak 442 CVE dari Anthropic — hanya 0,5% dari total CVE tahun ini — dengan 2 kasus eksploitasi nyata.
VulnCheck telah memantau Project Glasswing milik Anthropic sejak April 2026. Hasilnya jauh dari klaim awal. Dari 37.966 temuan yang dilaporkan Anthropic, hanya 7.349 (19,4%) yang dipublikasikan, dan cuma 217 yang sudah ditandai sebagai diperbaiki. Sejak September, Anthropic menambahkan hampir 12.000 temuan baru, namun hanya mencatat 15 perbaikan tambahan — kesenjangan antara penemuan dan remediasi terus melebar.
Angka duplikat juga mencolok: 1.654 temuan (4,4%) ditandai sebagai duplikat, hampir delapan kali lebih banyak dari yang sudah diperbaiki. Sebanyak 419 lainnya ditarik kembali. Meski Anthropic mengklaim tingkat true positive naik dari 90,8% ke 94,2%, metode perhitungan angka itu dipertanyakan, terutama karena duplikat dan temuan yang ditarik belum jelas diperlakukan seperti apa dalam kalkulasi tersebut.
Proyek ini juga menggeser beban validasi ke para maintainer open source. Proyek curl, misalnya, menolak 19 dari 34 laporan sebagai bukan kerentanan, mengonfirmasi enam sebagai severity rendah, dan menyisakan sembilan yang belum dinilai. Dari 442 CVE yang dilacak VulnCheck, hanya dua yang terbukti dieksploitasi di dunia nyata — tingkat eksploitasi 0,45%.