OSS Scanner на Anthropic е нова, безплатна услуга, която използва най-мощните модели с изкуствен интелект на компанията за откриване на уязвимости в сигурността на софтуер с отворен код. Разработчиците и поддържащите екипи, които се запишат, получават периодични сканирания и доклади, обясняващи предполагаемите дефекти, начина за тяхното възпроизвеждане и, когато е възможно, начина за тяхното отстраняване.
Услугата се базира на опита на Anthropic с Project Glasswing, който използва Claude за откриване на уязвимости в софтуера.
От Anthropic заявяват, за проверката от хора се е превърнала в пречка при изследването на уязвимости. OSS Scanner изпраща генерираните от AI констатации директно до екипите на проектите без преглед от човек, което ускорява докладването, докато поддържащите екипи остават отговорни за проверката на резултатите и приоритизирането на корекциите за сигурност.
Ранни резултати и ограничения
„Първоначалните доклади от AI преди около 18 месеца, преди Project Glasswing, бяха ужасяващи. Докладите, които получихме от Anthropic, включително необработения резултат от модела, бяха толкова добри, а понякога и по-добри от това, което получаваме от хора. Особено когато докладът идва с прикачен реален експлойт, това практически е свършена работа за един инженер, тъй като той може да го потвърди веднага“, заяви Антон Арапов от OpenSSL Corporation.
Специалисти по тестване за пробиваемост (пентестъри) са оценили 97 констатации с висока и критична степен на сериозност в 48 проекта от ранна версия на скенера. От Anthropic посочват, че 85 са отговорили на критериите за координирано разкриване на уязвимости, 11 са били автентични, но са повтаряли вече известни проблеми или други констатации, и един е бил невалиден.
„Не можем да гарантираме, че скенерът ще бъде перфектен“, заявяват от Anthropic. Компанията признава, че докладите могат да надценят сериозността на даден проблем или погрешно да разберат допусканията за сигурност на даден проект.
Какво могат да очакват поддържащите екипи
Включените проекти получават първоначално сканиране и пакет от доклади по имейл. Последващите сканирания търсят нововъведени уязвимости и проблеми, пропуснати при предишни проверки. Тяхната честота ще зависи от фактори, включително търсенето и доколко широко се използва даден проект.
Поддържащите екипи могат да предоставят насоки за това какво да се тества, кои входни данни да се третират като потенциално злонамерени, как да се оценява сериозността и какви предложени корекции за сигурност биха били полезни.
Компанията казва, че услугата е предназначена за екипи, които вече могат да се справят с потвърдени доклади с висока и критична сериозност и имат капацитет да разследват допълнителни констатации.
Допустимост и разкриване
Основните поддържащи екипи могат да кандидатстват чрез хранилището на OSS Scanner в GitHub. Молбите се оценяват индивидуално, като допустимостта е фокусирана върху утвърдени проекти, важни за инфраструктурата и сигурността на потребителите.
Непотвърдените констатации нямат задължителен 90-дневен срок за разкриване. Ако по-късно Anthropic потвърди доклад чрез съществуващата си програма за координирано разкриване, 90-дневният период може да започне, когато поддържащите екипи бъдат уведомени за това потвърждение.
Проектите могат да спрат автоматизираните доклади или да се откажат и да се върнат към получаване само на доклади съгласно стандартния процес на разкриване на компанията.