Anthropic wprowadza bezpłatne skanowanie bezpieczeństwa oparte na sztucznej inteligencji dla oprogramowania open-source

Image: Illustrative image · Прикли · CC0 · Source

Anthropic uruchomił OSS Scanner, bezpłatną usługę oferującą okresowe skany bezpieczeństwa generowane przez AI dla projektów open-source, mającą na celu szybsze wykrywanie luk bezpieczeństwa pomimo braku przeglądu przez ludzi.

Anthropic, firma zajmująca się badaniami w dziedzinie AI, ogłosiła OSS Scanner, nową bezpłatną usługę zaprojektowaną, aby pomóc projektom oprogramowania open-source w identyfikacji luk bezpieczeństwa przy użyciu zaawansowanych modeli językowych. Projekty open-source, które zdecydują się na udział w OSS Scanner, otrzymają kompleksowe, okresowe raporty o podatnościach generowane w całości przez modele AI, w tym najwydajniejszy model Claude Mythos firmy Anthropic, bez udziału człowieka w przeglądzie lub triage.

Celem OSS Scanner jest zapewnienie opiekunom wcześniejszego wykrywania potencjalnych zagrożeń bezpieczeństwa w celu poprawy ochrony oprogramowania. Doświadczenia Anthropic z przedsięwzięcia Project Glasswing dotyczącego odkrywania podatności wskazują, że duże modele językowe (LLM) znacznie poprawiły swoje zdolności do dokładnego wykrywania błędów w oprogramowaniu, przy wskaźnikach skuteczności rosnących z poniżej 20% do ponad 85% na benchmarkach wykrywania luk. W ciągu ostatnich sześciu miesięcy ich modele zidentyfikowały ponad 29 000 potencjalnych podatności w głównych projektach, chociaż ręczna weryfikacja objęła jak dotąd tylko niewielką ich część.

Automatyzując proces skanowania i dostarczając szybko surowe raporty generowane przez modele, OSS Scanner umożliwia częstsze audyty kodu open-source. Jednakże wadą jest to, że niektóre wyniki mogą być fałszywymi alarmami lub błędne z powodu braku weryfikacji ludzkiej. Do tej pory opinie wczesnych użytkowników takich jak PostgreSQL, OpenSSL i wolfSSL są pozytywne, podkreślając wysoką wiarygodność i praktyczne poprawki towarzyszące wielu raportom. Niezależni testerzy penetracyjni ocenili również próbkę krytycznych raportów, potwierdzając 88% wskaźnik przyjęcia zgodnie ze standardami koordynowanego ujawniania podatności Anthropic.

Każdy raport wygenerowany przez OSS Scanner zawiera szczegółowe wyjaśnienie podatności, instrukcje reprodukcji oraz, jeśli to możliwe, sugerowaną poprawkę. Anthropic oczekuje, że ta przejrzystość zostanie łatwo zintegrowana z procesami pracy opiekunów projektów, przyspieszając działania naprawcze w obliczu rosnącego zagrożenia, gdzie szybko mogą powstawać exploits.

Projekty chcące wziąć udział mogą zapisać się, przesyłając pull request do dedykowanego repozytorium GitHub, i muszą spełniać kryteria podobne do programu Google OSS-Fuzz, koncentrujące się na oprogramowaniu krytycznym dla infrastruktury i bezpieczeństwa użytkowników. Anthropic oferuje także narzędzia uzupełniające, takie jak bezpłatne subskrypcje Claude Max 20x w ramach programu Cyber Verification, wspomagające specjalistów ds. bezpieczeństwa w usuwaniu luk.

Chociaż skanery luk bezpieczeństwa oparte na AI nie są nowe, OSS Scanner Anthropic kładzie nacisk na szybką dostawę wysokiej jakości automatycznych raportów do społeczności open-source za darmo. Wraz z rozwojem możliwości modeli językowych, to narzędzie może stać się ważnym zasobem w obronie szeroko używanego oprogramowania przed nowymi zagrożeniami cybernetycznymi.

Kategoria: Aplikacje Status wydania: uruchomiony Data wydania: brak Nazwa produktu: OSS Scanner