Исследователи из компании VulnCheck проанализировали достижения проекта Glasswing, созданного компанией Anthropic для выявления уязвимостей и повышения безопасности критически важного ПО. За семь месяцев существования проекта было выявлено 37966 проблем, для 7349 (19.4%) из которых информация уже опубликована публично. Исправленными помечены 217 из публично раскрытых отчётов о проблемах, 1654 признаны дубликатами, 419 отозваны и лишь для 2 проблем выявлено применение в реальных атаках злоумышленников.
Несмотря на то, что число дубликатов и отозванных отчётов в 9.5 раз превышает число исправленных проблем, компания Anthropic заявила об увеличении доли подтверждённых положительных результатов c 90.8% до 94.2%. За два последних месяца компания Anthropic выявила 11813 новых проблем, но за это время зафиксировано лишь 15 исправлений, что демонстрирует увеличение разрыва между обнаружением уязвимостей и их устранением.
Ситуацию усугубляет то, что работа по подтверждению уязвимостей, выявленных в рамках инициативы OSS Scanner, перекладывается на сопровождающих, которые оказываются завалены непроверенными отчётами об ошибках. Из более 29 тысяч выявленных проблем, ручная проверка была проведена только для 6000, а для проверки остальных не хватает людей, поэтому компания начала отправку отчётов без ручного подтверждения.
Проект curl в ходе ручной проверки 34 подобных отчётов об уязвимостях, отклонил 19 и признал неопасными 6 (оставшиеся 9 ещё находятся на этапе проверки).
Если рассматривать 442 отчёта Anthropic, которым присвоены CVE-идентификаторы, то в 50 из них (11.21%) выставлен критический уровень опасности, в 189 (42.38%) - высокий уровень опасности 143 (32%) - средний и лишь в 36 (8.07%) - низкий.