Chainguard обяви Chainguard Harness – нова среда за киберсигурност, която използва усъвършенствани AI модели от ново поколение като Claude Mythos 5.1 на Anthropic за откриване и отстраняване на експлоатируеми уязвимости в програмния код на организациите. Harness изгражда приложението от изходния код на организацията в изолирана микро-виртуална машина (microVM), възлага на модела да търси използваеми уязвимости в реално работеща инстанция и възпроизвежда всяка открита уязвимост, преди да предостави персонализирана корекция за сигурност, прегледана от специалисти.

Екипите се възползват от откриване на уязвимости чрез усъвършенстван изкуствен интелект, без да се нуждаят от собствен достъп до водещи AI модели, като предприемат действия само по потвърдени констатации, вместо да филтрират фалшиви сигнали. Chainguard Harness вече е наличен в Claude Marketplace, което позволява на клиентите да закупят Harness директно от Anthropic и да оптимизират разходите си за изкуствен интелект.

Откриването на уязвимости вече не е трудната част

Моделите с изкуствен интелект от ново поколение станаха забележително ефективни при откриването и навързването във верига на експлоатируеми уязвимости, но повечето организации не могат да приложат тази възможност към собствения си код. Достъпът до водещи модели, които откриват уязвимости както в собствен код, така и в софтуер с отворен код, досега беше достъпен предимно за ограничен кръг организации, осигуряващи дефанзивна сигурност за критична инфраструктура.

Скенерите задълбочават проблема: те анализират статичен код, сигнализират за проблеми, които може никога да не бъдат достъпни за атака, и пропускат логически дефекти, пътища за инжектиране на зловреден код и грешки с изчерпване на ресурсите, които се проявяват единствено при реално работещо приложение. Резултатът е нарастващо натрупване на непотвърдени предупреждения, при което инженерите губят часове и ресурси за триаж на откритията и създаване на собствени корекции за сигурност, вместо да пускат софтуер. Chainguard Harness преодолява тази празнина, като открива експлоатируеми, възпроизводими уязвимости и осигурява корекции както за софтуер с отворен код, така и за собствен код.

„Всеки път, когато насочим Harness към даден код, той открива сериозни, експлоатируеми уязвимости, включително в софтуер, сканиран многократно, и в код, управляващ критична инфраструктура“, заяви Дан Лоренц, главен изпълнителен директор на Chainguard. „Тази способност започва да навлиза във все повече организации, а екипите, които реагират първи, ще бъдат тези, които ще открият и отстранят тези проблеми, преди да се превърнат в инциденти. Harness предлага още една възможност за екипите по сигурност да получават доказани уязвимости и корекции, които техните инженери могат директно да внедрят.“

Доказани уязвимости с готови корекции, написани за вашия код

Chainguard Harness се свързва с хранилището на екипа чрез приложението Guardener в GitHub, изгражда приложението точно така, както се разпространява, и го стартира в изолирана microVM среда. След това модел от ново поколение тества работещото приложение за експлоатируеми уязвимости в реалния му контекст – така, както би действал един атакуващ, вместо просто да чете статичен код. Всяка констатация се възпроизвежда отново в чиста, изолирана среда, докато не се потвърди категорично, така че екипите виждат само доказани проблеми. Когато уязвимостта бъде потвърдена, Chainguard предоставя надеждни стъпки за възпроизвеждане заедно с корекция за сигурност, написана конкретно за съответната кодова база.

  • Усъвършенстван изкуствен интелект без директен достъп до моделите: Екипите се възползват от търсенето на уязвимости с водещи AI модели върху собствените си приложения, без да се налага да разполагат със собствен достъп до тях.
  • Създаден за дефекти, възникващи по време на изпълнение: Harness тества работещо копие на приложението, вместо само статичен код, разкривайки логически грешки, възможности за инжектиране на зловреден код и изчерпване на ресурси, които се появяват само в динамичен контекст.
  • Изолация по дизайн: Всяко стартиране се извършва в собствена изолирана среда (пясъчник) от тип microVM, изградена от изходен код върху Chainguard OS, без изходящ мрежов трафик, без съхранявани идентификационни данни и с пълно регистриране на събитията за одит.
  • Възпроизводими и проверени констатации: Всяко откритие се тества повторно в чиста, изолирана среда, докато не се потвърждава при всяко изпълнение, което намалява фалшивите тревоги и шума в сигурността.
  • Корекции, написани за вашия код: Персонализираните препоръки за собствения код и зависимостите с отворен код осигуряват на екипите ясен път към сигурен код, а не просто списък с рискове.
  • Човешки преглед на всяка корекция: Инженер от Chainguard преглежда и одобрява всяка корекция за сигурност и доклад, преди те да достигнат до клиента.
  • Вградено отговорно оповестяване: Уязвимостите, открити в софтуер с отворен код, се изпращат към техните поддръжници чрез Athena – координирания процес на Chainguard за разкриване на уязвимости.

При стартирането инженерите на Chainguard управляват Harness от името на клиентите, като го прилагат към надеждните артефакти с отворен код, които Chainguard вече разпространява, предоставяйки обновени версии с приложени корекции за сигурност чрез Chainguard Repository. Системата се изпълнява и върху изходния код на клиента, предоставяйки проверен от инженери доклад с потвърдени констатации, степен на сериозност, въздействие, стъпки за възпроизвеждане и препоръчителни мерки за отстраняване на уязвимостите.

Chainguard Harness е достъпен през Claude Marketplace на Anthropic, позволявайки на корпоративните клиенти да използват част от съществуващия си финансов ангажимент към Anthropic за придобиването му. Chainguard Harness възпроизвежда откритите от Mythos 5.1 уязвимости в изолирана среда, като гарантира, че всяка корекция за сигурност е прегледана от инженер на Chainguard, и предоставя резултати, по които клиентите могат да предприемат незабавни действия. Anthropic управлява фактурирането, така че клиентите на компанията могат да добавят Harness без отделна процедура по възлагане и да консолидират разходите си за изкуствен интелект.

„Модели като Claude Mythos 5.1 могат да разкрият уязвимости, останали незабелязани с години, така че начинът, по който се внедрява тази способност, е от също толкова голямо значение, колкото и самата тя“, заяви Даниела Хуртадо, ръководител на търговския отдел по киберсигурност в Anthropic. „Chainguard Harness обгражда Mythos 5.1 с изолация, възпроизвеждане и преглед от експерти, така че защитниците да се възползват максимално, а всяка констатация да бъде проверена, преди да достигне до клиента. Чрез Claude Marketplace предприятията могат да насочат съществуващия си ангажимент към Anthropic директно към такова намаляване на риска.“