Project Glasswing, il bilancio di VulnCheck: 442 CVE ma solo 2 sfruttate

A sette mesi dal lancio di Project Glasswing, il programma con cui Anthropic usa i suoi modelli per cercare vulnerabilità nel software open source, arriva il primo bilancio indipendente. Lo firma VulnCheck, società di threat intelligence, e la sua conclusione è netta: l’AI trova davvero bug, ma la narrazione del lancio non regge davanti ai numeri.

Il punto non è se l’approccio funzioni. È chi paga il costo della verifica.

Cosa ha misurato VulnCheck su Project Glasswing

L’analisi, pubblicata il 9 novembre 2026 da Patrick Garrity sul blog di VulnCheck, parte da un lavoro di tracciamento in corso dal 17 aprile. Garrity raccoglie in un repository open source i CVE attribuiti ad Anthropic, incrociando i record CVE, gli avvisi GitHub, i commit del kernel Linux e il registro pubblico delle divulgazioni dell’azienda, e controlla a mano gli avvisi che altrimenti sfuggirebbero.

Poi confronta tutto con il catalogo delle vulnerabilità sfruttate di VulnCheck, il suo KEV, per capire quante di queste falle vengano davvero usate dagli attaccanti.

I numeri principali

In sette mesi risultano 442 CVE attribuiti ad Anthropic, circa 63 al mese. Sono lo 0,5% dei 93.450 CVE pubblicati nel 2026, quindi una quota piccola dell’intero flusso. Di questi 442, solo due compaiono nel KEV di VulnCheck: CVE-2026-61500 e CVE-2026-26980. Parliamo dello 0,45%.

Il primo è la falla di Rejetto HFS di cui ti avevamo parlato nell’articolo su Mythos e la vulnerabilità sfruttata in Rejetto HFS.

C’è poi un dato che riguarda il registro di Anthropic. Secondo il confronto tra gli aggiornamenti dell’8 settembre e del 2 novembre, i risultati totali sono passati da 26.153 a 37.966, e quelli resi pubblici da 2.736 a 7.349. Le vulnerabilità corrette, però, sono salite soltanto da 202 a 217, cioè quindici in più in due mesi. Nello stesso periodo i ritirati sono passati da 245 a 419 e i duplicati da 2 a 1.670.

Detto in modo semplice: la macchina produce segnalazioni molto più in fretta di quanto il software venga riparato.

Il nodo dei duplicati e del tasso di veri positivi

Anthropic dichiara un tasso di veri positivi del 94,2%, in crescita rispetto al 91,4% di settembre e al 90,8% dichiarato al lancio, a maggio. Garrity sostiene che questa percentuale fatichi a conciliarsi con la crescita di ritirati e duplicati, e ipotizza che il calcolo non li tenga in considerazione. Va precisato che questa è una sua inferenza e non una metodologia confermata.

I duplicati rappresentano circa il 4,4% dei risultati, ma sono da sette a otto volte più numerosi delle correzioni. Più a lungo una falla resta ferma in attesa, più è probabile che qualcun altro la sistemi o la scopra per conto proprio.

Gravità percepita e gravità reale

Un secondo confronto, risalente a settembre, riguarda la severità. Secondo Garrity, Claude classificava come critico o alto il 91,5% dei risultati del registro, mentre i manutentori dei progetti li giudicavano tali nel 51,3% dei casi. Una distanza così ampia pesa quando le segnalazioni devono essere smistate da volontari con tempo limitato.

La sproporzione tra gravità attribuita dal modello e gravità riconosciuta dagli umani è forse il dato più utile da tenere a mente.

L’OSS Scanner e il caso curl

Il capitolo più delicato riguarda lo scanner self-service lanciato l’8 ottobre. Anthropic ha comunicato oltre 29.000 candidate vulnerabilità, di cui circa 6.000 riviste manualmente, e quasi 5.000 segnalazioni non verificate sono già arrivate ai manutentori. I report generati dallo scanner sono prodotti dal modello senza revisione umana. Se vuoi il quadro di quel programma, lo trovi nel nostro approfondimento su Cyber Mission, CIDP e OSS Scanner.

Il caso curl è il più concreto. Il progetto ha ricevuto 45 segnalazioni da Anthropic: una di gravità media, le altre basse. Delle 34 già pubblicate, 19 sono state respinte perché non erano vulnerabilità, 6 sono state confermate come di gravità bassa e 9 aspettano ancora una valutazione. Ne risulta un tasso di falsi positivi del 55,9% finora e una quota di segnalazioni confermate del 17,6%, tutte di gravità bassa.

A maggio, ricorda l’analisi, cinque scoperte attribuite a Mythos si erano ridotte a una sola vulnerabilità confermata in curl.

Chi fa il lavoro di triage

La conclusione più critica di VulnCheck è che il lavoro di smistamento si sia spostato da Anthropic ai manutentori, cioè proprio la categoria che Glasswing diceva di voler aiutare. Un piccolo progetto open source, già a corto di tempo, si ritrova a leggere decine di report scritti da un modello e a decidere quali siano reali.

Non è una critica all’idea di usare l’AI per la sicurezza. È una critica al modo in cui il carico viene distribuito.

Come leggere questi dati con cautela

Prima di trarre conclusioni definitive servono alcune precisazioni, che lo stesso articolo di VulnCheck lascia emergere. Il testo è un commento firmato da un’azienda che vende prodotti di intelligence sulle vulnerabilità, non una ricerca sottoposta a revisione paritaria. L’attribuzione dei CVE dipende dal metodo di tracciamento dell’autore, che non è stato verificato in modo indipendente.

Il campione di curl è piccolo, con nove segnalazioni ancora in sospeso, quindi le percentuali potrebbero cambiare. Anche due sole vulnerabilità sfruttate sono una base ridotta per giudicare il rischio reale. Inoltre l’articolo riporta il numero di duplicati in due modi diversi, 1.654 nel testo e 1.670 nella tabella, e segnala un errore nel registro che gonfia i dati sulle divulgazioni, consigliando di verificare con il filtro dedicato.

In sintesi, i numeri indicano una direzione, non una sentenza.

Cosa cambia per chi lavora con sicurezza e software open source

Per un team che usa librerie open source, la lezione pratica è che un CVE attribuito a un modello AI non va trattato in automatico come urgente. Conviene guardare la gravità riconosciuta dal manutentore, la presenza nei cataloghi delle vulnerabilità sfruttate e la disponibilità di una correzione, prima di riorganizzare le priorità. Il volume di segnalazioni può crescere molto più in fretta della capacità di verifica.

Per Anthropic la sfida è di credibilità. Il programma ha prodotto risultati reali, e ne avevamo già parlato quando abbiamo raccontato il modello non rilasciato capace di costruire exploit. Ma finché le correzioni non seguono il ritmo delle scoperte, e finché la gravità dichiarata si discosta da quella riconosciuta dagli umani, le obiezioni di VulnCheck resteranno difficili da ignorare.

Il dibattito riguarda tutto il settore: se i modelli generano falle più velocemente di quanto le persone riescano a esaminarle, serve investire anche nella verifica e nella correzione, non solo nella scoperta.

Tre domande da farsi davanti a un nuovo CVE

La prima è chi lo ha valutato: se la gravità arriva solo dal modello che ha trovato la falla, va trattata come una stima da confermare. La seconda è se esiste già una correzione ufficiale, perché un’attribuzione senza patch lascia soltanto lavoro in più. La terza è se la vulnerabilità risulti sfruttata nel mondo reale, informazione che i cataloghi come il KEV rendono verificabile in pochi minuti.

Con questo filtro puoi usare i report generati dall’AI come segnale utile, senza farti travolgere dal rumore. Anche i team piccoli, che non hanno un analista dedicato, possono adottarlo senza strumenti costosi.

Conclusioni: cosa fare adesso

Il bilancio di sette mesi dice che l’AI è uno strumento efficace per cercare vulnerabilità, ma che il valore di un programma come Glasswing si misura in bug corretti e software più sicuro, non in numero di segnalazioni. Se ti occupi di sicurezza, sviluppo o gestione di infrastrutture, leggi il report originale, confronta i dati con le tue fonti e verifica quali CVE toccano davvero i componenti che usi.

Seguici per i prossimi aggiornamenti: se Anthropic o i manutentori risponderanno con nuovi numeri, ne parleremo su Intelligenza Artificiale.net.