Contexte et objectifs

Le projet Glasswing, lancé par Anthropic le 7 avril, promettait d’identifier des milliers de vulnérabilités à haute sévérité dans les projets open source. L’initiative repose sur un modèle d’IA capable de générer des rapports de sécurité, puis de les soumettre aux mainteneurs pour validation. Après sept mois, VulnCheck a comparé les chiffres annoncés par Anthropic avec les données réelles afin d’évaluer la pertinence de ces promesses.

Statistiques de découverte et de correction

Sur les 93 450 CVE publiés en 2026, 442 sont attribuables à Anthropic, soit 0,5 % du total, avec une moyenne de 63 CVE par mois. Le registre public d’Anthropic ne recense que 217 correctifs, alors que le suivi indépendant en compte plus de deux fois ce nombre. Parmi les 37 966 découvertes déclarées, seulement 7 349 (19,4 %) ont été rendues publiques, révélant un écart important entre détection et divulgation.

Analyse du taux de vrais positifs et des doublons

Anthropic affirme un taux de vrais positifs de 94,2 % (en hausse depuis 90,8 % à la sortie). Cependant, 1 654 découvertes (4,4 %) sont marquées comme doublons, soit 7,5 fois plus que les correctifs. De plus, 419 rapports ont été retirés. Cette dynamique suggère que le calcul du taux de vrais positifs ne tient pas compte des doublons ni des retraits, ce qui biaise la métrique. Le test du scanner OSS d’Anthropic sur le projet curl montre un taux de faux positifs de 55,9 % (19 sur 34 rapports rejetés) et aucune vulnérabilité de gravité moyenne ou élevée.

Impacts sur les mainteneurs open source

Le modèle d’Anthropic transfère la charge de triage vers les équipes de mainteneurs. Daniel Stenberg, responsable de curl, a reçu 45 rapports, dont 19 ont été rejetés comme non vulnérabilités, 6 confirmés comme de faible sévérité et 9 en attente d’évaluation. Cette répartition implique que plus de la moitié des rapports imposent un travail supplémentaire sans bénéfice de sécurité notable. Le fait que seuls 2 CVE sur 442 aient été exploités en conditions réelles (0,45 %) renforce l’idée que la plupart des découvertes sont de faible valeur exploitable. En conséquence, la communauté open source doit consacrer du temps à valider des alertes peu pertinentes, ce qui peut ralentir le développement et augmenter le risque de fatigue des mainteneurs.