# Glasswing : 217 correctifs pour 37 966 signalements

_Publié le 12 novembre 2026 — https://ip73.fr/2026/11/12/glasswing-217-correctifs-pour-37-966-signalements/_

Sept mois après le lancement du Project Glasswing d’Anthropic, Patrick Garrity, chercheur chez VulnCheck, tire un bilan sévère : 37 966 signalements au compteur, mais 217 correctifs seulement. Son billet, repris par LWN, The Stack et Infosecurity Magazine, soulève aussi une question qui concerne directement les mainteneurs open source : qui trie tout cela ?

## 217 correctifs pour 37 966 signalements

Anthropic a lancé Glasswing le 7 avril, en affirmant avoir identifié des milliers de vulnérabilités supplémentaires de sévérité haute ou critique, qu’elle s’employait à divulguer de façon responsable aux mainteneurs. Selon VulnCheck, l’entreprise a fourni très peu d’éléments pour étayer cette annonce. Garrity suit donc le dossier depuis le 17 avril, dans un dépôt public qui recense les CVE attribuables à Anthropic à partir des enregistrements CVE, des GHSA, des commits du noyau Linux et du registre de divulgation de l’entreprise, qu’il complète par un audit manuel des avis de sécurité.

Le décompte, au bout de sept mois : 442 CVE, soit environ 63 par mois et à peine 0,5 % des 93 450 CVE publiées cette année. Le registre d’Anthropic, lui, n’affiche que 217 failles corrigées, ce qui veut dire que VulnCheck en a repéré plus du double. Côté exploitation, seules deux de ces 442 CVE (CVE-2026-61500 et CVE-2026-26980) figurent dans le catalogue VulnCheck KEV des failles exploitées dans la nature, soit 0,45 %.

Le registre, mis à jour par gros lots espacés, donnait 23 019 signalements et un taux de vrais positifs de 90,8 % lors de son lancement en mai. Au 2 novembre : 37 966 signalements, dont 7 349 rendus publics (19,4 %) et 217 marqués comme corrigés. « Cela me semble être un échec stupéfiant », écrit Garrity dans son rapport, cité par The Stack.

## Doublons et retraits : l’arriéré qui grossit

Le chercheur insiste sur un autre chiffre : 1 654 signalements (4,4 %) sont déjà classés comme doublons, soit 7,5 fois plus que de correctifs. S’y ajoutent 419 signalements retirés. Le tableau comparant l’état du registre en septembre et en novembre résume la dynamique.

| | 8 septembre | 2 novembre | Écart |
|---|---|---|---|
| Signalements | 26 153 | 37 966 | + 11 813 |
| Rendus publics | 2 736 (10,5 %) | 7 349 (19,4 %) | + 4 613 |
| Corrigés | 202 | 217 | + 15 |
| Retirés | 245 | 419 | + 174 |
| Doublons | 2 | 1 670 | + 1 668 |
| Taux de vrais positifs annoncé | 91,4 % | 94,2 % | + 2,8 points |

Le billet cite 1 654 doublons dans son texte et 1 670 dans son tableau ; l’ordre de grandeur ne change pas. En deux mois, près de 12 000 signalements ont été ajoutés pour 15 correctifs de plus. Les doublons, eux, sont passés de deux à près de 1 700 : c’est ce que Garrity redoutait en septembre, puisque plus un signalement attend, plus il a de chances d’être trouvé et corrigé par quelqu’un d’autre entre-temps.

Reste un point qui intrigue le chercheur : le taux de vrais positifs revendiqué grimpe de 90,8 % à 94,2 %, alors que doublons et retraits dépassent largement les correctifs. Il soupçonne une boucle de retour manquante entre le tri des signalements et ce taux de « vrais positifs ». Il signale aussi un probable bug du registre, qui gonflerait le nombre de signalements marqués comme divulgués.

## Le tri humain n’a pas suivi

Anthropic ne cache pas le problème. Dans l’annonce de son OSS Scanner, le 8 octobre, l’entreprise disait avoir trouvé plus de 29 000 vulnérabilités candidates, mais n’en avoir relu à la main qu’environ 6 000, faute de capacité humaine de validation. Près de 5 000 rapports non vérifiés étaient déjà partis vers des mainteneurs qui avaient demandé à tout recevoir en bloc.

Le nouvel outil déplace donc le travail. Les projets peuvent demander eux-mêmes un scan, puis trier les résultats. Anthropic prévient que ces rapports sont entièrement générés par le modèle, sans relecture ni tri humain, et qu’ils peuvent être faux ou invalides. Garrity juge la démarche logique au vu de l’impasse de l’initiative open source, mais note que la validation retombe sur les mainteneurs.

Exemple cité : curl. Sur 34 rapports publiés, le projet en a rejeté 19 comme n’étant pas des vulnérabilités, en a confirmé six, de sévérité faible, et en a encore neuf en attente d’évaluation. Pour VulnCheck, ces chiffres jettent aussi un doute sur les taux de vrais positifs mis en avant par Anthropic.

## Ce que le bilan ne dit pas

La conclusion de Garrity est nuancée sur le principe : l’IA est un outil utile pour trouver des failles, et il ne le conteste pas. Mais sept mois plus tard, écrit-il, les preuves ne correspondent toujours pas au récit du lancement : les CVE ne sont qu’une fraction du total annuel, presque aucune n’est exploitée, les correctifs stagnent, et le tri retombe sur les mainteneurs open source que Glasswing promettait d’aider. The Stack, de son côté, parle d’un flot de CVE à faible risque qui menace de submerger les administrateurs chargés des mises à jour.

Plusieurs choses restent floues. Une bonne partie des calculs de VulnCheck repose sur le registre d’Anthropic, qui n’est actualisé qu’occasionnellement ; le prochain lot de données pourrait déplacer les ratios. Rien non plus, dans les éléments publiés, ne dit combien de temps prend un correctif côté mainteneurs, ni quelle part des signalements encore non publics concerne des failles réelles. Et l’exemple de curl, sur 34 rapports, est trop mince pour en tirer un taux général.

Le prochain point d’étape de VulnCheck, comme la prochaine mise à jour du registre, dira si l’écart entre découvertes et correctifs se résorbe ou continue de se creuser.

## Sources

- [After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings \| Blog \| VulnCheck](https://www.vulncheck.com/blog/anthropic-glasswing-november-update?ref=thestack.technology), vulncheck.com
- [Seven months on, Anthropic's Project Glasswing finds just two exploited CVEs and a lot of slop](https://www.thestack.technology/seven-months-on-anthropics-project-glasswing-finds-just-two-exploited-cves-and-a-lot-of-slop/), The Stack, 12 novembre 2026
- [Glasswing overwhelms maintainers with underwhelming findings (VulnCheck)](https://lwn.net/Articles/1107173/), LWN.net, 12 novembre 2026
- [Anthropic's Glasswing Finds Many Vulnerabilities Yet Delivers Few Fixes, Researcher Says](https://www.infosecurity-magazine.com/news/anthropic-glasswing/), Infosecurity Magazine, 11 novembre 2026