Anthropic pristato nemokamus AI pagrįstus saugumo skenavimus atvirojo kodo programinei įrangai

Vaizdas: Illustrative image · Прикли · CC0 · Šaltinis

Anthropic pristatė OSS Scanner – nemokamą paslaugą, kuri periodiškai atlieka AI sugeneruotus saugumo skenavimus atvirojo kodo projektams, siekdama greičiau aptikti pažeidžiamumus net be žmogaus peržiūros.

Anthropic, dirbtinio intelekto tyrimų įmonė, paskelbė apie OSS Scanner – naują nemokamą paslaugą, skirtą padėti atvirojo kodo programinės įrangos projektams aptikti saugumo spragas naudojant pažangius kalbos modelius. Atsivirojo kodo projektai, pasirinkę naudotis OSS Scanner, gaus visapusiškas, periodiškai teikiamas pažeidžiamumo ataskaitas, kurias visiškai sugeneruoja AI modeliai, įskaitant pažangiausią Anthropic Claude Mythos, be žmogaus peržiūros ar atrankos.

OSS Scanner tikslas – suteikti priežiūros specialistams ankstyvą galimų saugumo problemų aptikimą, kad būtų pagerintas programinės įrangos apsaugos lygis. Anthropic patirtis su Project Glasswing pažeidžiamumų paieškos iniciatyva rodo, kad dideli kalbos modeliai (LLM) žymiai pagerėjo tiksliai aptikti programinės įrangos klaidas, nes sėkmingų aptikimų rodikliai pastaruoju metu išaugo nuo mažiau nei 20 % iki daugiau nei 85 % pažeidžiamumų radimo standartiniuose bandymuose. Per pastaruosius šešis mėnesius jų modeliai aptiko daugiau nei 29 000 kandidatuojančių pažeidžiamumų pagrindiniuose projektuose, nors rankinė patikra kol kas apėmė tik dalį jų.

Automatizuodamas skenavimo procesą ir greitai pristatydamas nefiltruotas AI modelių ataskaitas, OSS Scanner leidžia dažniau atlikti atvirojo kodo kodo auditus. Tačiau šis sprendimas turi kompromisą – kai kurios žinutės gali būti klaidingos arba neteisingos dėl žmogaus patikrinimo stokos. Iki šiol ankstyvųjų naudotojų atsiliepimai iš PostgreSQL, OpenSSL ir wolfSSL buvo teigiami, išskiriant aukštą tikslumą ir daugelį ataskaitų lydinčias praktiškas pataisas. Nepriklausomi įsibrovimo testuotojai taip pat įvertino kritinių ataskaitų pavyzdį, patvirtindami 88 % priėmimo rodiklį pagal Anthropic koordinuoto pažeidžiamumo atskleidimo standartus.

Kiekvienoje OSS Scanner generuojamoje ataskaitoje yra išsami pažeidžiamumo apžvalga, atkūrimo instrukcijos ir, jei įmanoma, siūloma pataisa. Anthropic tikisi, kad ši skaidrumo politika puikiai įsilies į priežiūros specialistų darbo eigą, greitinant pataisų taikymą sparčiai augančio grėsmės fone, kai įsilaužimai gali būti kuriami labai greitai.

Projektai, norintys dalyvauti, gali registruotis pateikdami pull request į skirtą GitHub saugyklą ir turi atitikti panašius reikalavimus kaip Google OSS-Fuzz programa, sutelkiant dėmesį į infrastruktūrai bei vartotojų saugumui svarbią programinę įrangą. Anthropic taip pat teikia papildomus įrankius, tokius kaip nemokamos prenumeratos Claude Max 20x per savo Cyber Verification Program, padedančią saugumo specialistams spręsti pažeidžiamumus.

Nors AI pagrindu veikiančių pažeidžiamumo skenerių idėja nėra nauja, Anthropic OSS Scanner pabrėžia greitą aukštos kokybės automatizuotų ataskaitų teikimą atvirojo kodo bendruomenei visiškai nemokamai. Kalbos modelių galimybių tobulėjant, ši priemonė gali tapti svarbiu įrankiu ginant plačiai naudojamą programinę įrangą nuo naujų kibernetinių grėsmių.