Anthropic ottaa käyttöön ilmaisen tekoälypohjaisen turvallisuusskannauksen avoimen lähdekoodin ohjelmistoille

Kuva: Illustrative image · Прикли · CC0 · Lähde

Anthropic on käynnistänyt OSS Scanner -palvelun, joka tarjoaa ilmaisen valinnaisen tekoälyn generoiman turvallisuusskannauksen avoimen lähdekoodin projekteille, tavoitteena nopeuttaa haavoittuvuuksien havaitsemista ilman ihmisarviointia.

Anthropic, tekoälytutkimusyritys, on ilmoittanut OSS Scannerista, uudesta ilmaisesta palvelusta, joka auttaa avoimen lähdekoodin ohjelmistoprojekteja tunnistamaan turvallisuuspuutteita kehittyneiden kielimallien avulla. OSS Scanner -palveluun liittyvät avoimen lähdekoodin projektit saavat kattavia, säännöllisesti toimitettavia haavoittuvuuksien raportteja, jotka on kokonaan generoitu tekoälymalleilla, mukaan lukien Anthropicin tehokkain Claude Mythos, ilman ihmisen tarkastusta tai lajittelua.

OSS Scannerin tavoitteena on tarjota ylläpitäjille varhaisempaa potentiaalisten turvallisuusongelmien havaitsemista ohjelmistonsuojauksen parantamiseksi. Anthropicin Project Glasswing -haavoittuvuuksien etsintähankkeen kokemus osoittaa, että suuret kielimallit (LLM) ovat merkittävästi kehittyneet ohjelmavirheiden tarkassa löytämisessä; onnistumisprosentit ovat äskettäin nousseet alle 20 %:sta yli 85 %:iin haavoittuvuuksien etsintään liittyvissä vertailuissa. Viimeisen kuuden kuukauden aikana heidän mallinsa ovat löytäneet yli 29 000 ehdokas-haavoittuvuutta merkittävistä projekteista, vaikkakin manuaalinen validointi on tähän mennessä kattaa vain osan niistä.

Automatisoimalla skannausprosessin ja toimittamalla raakamuotoiset, mallin generoimat raportit nopeasti, OSS Scanner mahdollistaa avoimen lähdekoodin koodin useammin tehtävät tarkastukset. Vaihtokauppana on, että osa löydöksistä saattaa olla virheellisiä tai vääriä ilman ihmisen varmistusta. Toistaiseksi varhaisten käyttäjien, kuten PostgreSQL:n, OpenSSL:n ja wolfSSL:n, palaute on ollut myönteistä, korostaen suurempaa pätevyyttä ja monissa raporteissa mukana olevia korjausehdotuksia. Riippumattomat penetraatiotestaajat arvioivat myös näytteitä kriittisistä raporteista, vahvistaen 88 % hyväksymisasteen Anthropicin koordinoidun haavoittuvuuksien ilmoitusstandardin puitteissa.

Jokainen OSS Scannerin laatima raportti sisältää yksityiskohtaisen selityksen haavoittuvuudesta, toistettavuusohjeet ja mahdollisuuksien mukaan ehdotetun korjauksen. Anthropic odottaa, että tämä avoimuus sulautuu sujuvasti ylläpitäjien työnkulkuun, nopeuttaen korjaustoimia kasvavan uhkaympäristön keskellä, jossa hyväksikäyttöjä voidaan kehittää nopeasti.

Projektit, jotka haluavat osallistua, voivat ilmoittautua lähettämällä pull requestin omistettuun GitHub-repositorioon, ja niiden tulee täyttää kriteerit, jotka ovat samankaltaisia kuin Googlen OSS-Fuzz -ohjelmassa, keskittyen infrastruktuurin ja käyttäjäturvallisuuden kannalta kriittiseen ohjelmistoon. Anthropic tarjoaa myös oheistyökaluja, kuten ilmaisen tilauksen Claude Max 20x:ään Cyber Verification Program -ohjelmansa kautta, joka tukee tietoturva-ammattilaisia haavoittuvuuksien korjauksissa.

Vaikka tekoälypohjaiset haavoittuvuusskannerit eivät ole uusi ilmiö, Anthropicin OSS Scanner korostaa korkealaatuisten automaattisten raporttien nopeaa toimitusta avoimen lähdekoodin yhteisölle ilmaiseksi. Kielimallien kykyjen kehittyessä tästä työkalusta voi muodostua merkittävä resurssi laajasti käytetyn ohjelmiston suojaamisessa uusia kyberuhkia vastaan.