Anthropic führt kostenlose KI-gestützte Sicherheitsscans für Open-Source-Software ein

Image: Illustrative image · Прикли · CC0 · Source

Anthropic hat OSS Scanner vorgestellt, einen kostenlosen optionalen Service, der Open-Source-Projekten periodische, KI-generierte Sicherheitsscans bietet, um Schwachstellen trotz fehlender menschlicher Überprüfung schneller zu erkennen.

Anthropic, ein Unternehmen für KI-Forschung, hat OSS Scanner angekündigt, einen neuen kostenlosen Service, der Open-Source-Software-Projekte dabei unterstützen soll, Sicherheitslücken mithilfe fortschrittlicher Sprachmodelle zu identifizieren. Open-Source-Projekte, die sich für OSS Scanner anmelden, erhalten umfassende, regelmäßige Berichte zu Schwachstellen, die vollständig von KI-Modellen, einschließlich Anthropic’s leistungsfähigem Claude Mythos, ohne menschliche Überprüfung oder Bewertung erstellt werden.

Das Ziel von OSS Scanner ist es, Maintainer bei der frühzeitigen Erkennung potenzieller Sicherheitsprobleme zu unterstützen, um die Abwehrmechanismen der Software zu verbessern. Anthropic’s Erfahrungen mit seinem Project Glasswing zur Entdeckung von Sicherheitslücken zeigen, dass große Sprachmodelle (LLMs) sich erheblich verbessert haben in der genauen Erkennung von Softwarefehlern, mit Erfolgsraten bei der Identifikation von Schwachstellen, die kürzlich von unter 20 % auf über 85 % gestiegen sind. In den letzten sechs Monaten haben ihre Modelle mehr als 29.000 potenzielle Schwachstellen in wichtigen Projekten entdeckt, wobei die manuelle Validierung bislang nur einen Bruchteil abdeckt.

Durch die Automatisierung des Scan-Prozesses und die schnelle Bereitstellung der von den Modellen generierten Rohberichte ermöglicht OSS Scanner häufigere Prüfungen von Open-Source-Code. Der Nachteil ist jedoch, dass einige Ergebnisse Fehlalarme oder inkorrekt sein können, da keine menschliche Verifikation stattfindet. Bislang war das Feedback von frühen Anwendern wie PostgreSQL, OpenSSL und wolfSSL positiv und hob die hohe Validität sowie die möglichen Patches hervor, die viele Berichte begleiten. Unabhängige Penetrationstester überprüften zudem eine Stichprobe kritischer Berichte und bestätigten eine Akzeptanzrate von 88 % gemäß Anthropic’s koordinierten Vulnerability-Disclosure-Standards.

Jeder von OSS Scanner erstellte Bericht enthält eine detaillierte Erklärung der Schwachstelle, Anweisungen zur Reproduktion und, sofern möglich, einen vorgeschlagenen Patch. Anthropic erwartet, dass diese Transparenz sich nahtlos in die Arbeitsabläufe der Maintainer integrieren lässt und die Behebung in einem sich verschärfenden Bedrohungsumfeld beschleunigt, in dem Exploits sehr schnell erstellt werden können.

Projekte, die teilnehmen möchten, können sich durch das Einreichen eines Pull Requests zu einem dedizierten GitHub-Repository anmelden und müssen Kriterien erfüllen, die denen des Google OSS-Fuzz-Programms ähneln, mit Fokus auf software, die für Infrastruktur und Nutzersicherheit kritisch ist. Anthropic bietet zudem ergänzende Werkzeuge wie kostenlose Abonnements von Claude Max 20x über sein Cyber Verification Program an, die Sicherheitsexperten bei der Behebung von Schwachstellen unterstützen.

Obwohl KI-gestützte Schwachstellenscanner nicht neu sind, legt Anthropic’s OSS Scanner Wert auf die schnelle Bereitstellung hochwertiger automatisierter Berichte für die Open-Source-Community ohne Kosten. Mit der Weiterentwicklung der Sprachmodellfähigkeiten könnte dieses Tool zu einem wichtigen Instrument beim Schutz weitverbreiteter Software gegen aufkommende Cyber-Bedrohungen werden.

Kategorie: Apps Veröffentlichungsstatus: veröffentlicht Veröffentlichungsdatum: keine Angabe Produktname: OSS Scanner