Anthropic представляет бесплатные AI-сканеры безопасности для open-source программного обеспечения

Image: Illustrative image · Прикли · CC0 · Source

Anthropic запустил OSS Scanner — бесплатную сервисную опцию, предлагающую периодические AI-сгенерированные сканирования безопасности для проектов с открытым исходным кодом, стремясь быстрее обнаруживать уязвимости без участия человека.

Anthropic, компания, занимающаяся исследованиями в области ИИ, объявила о запуске OSS Scanner — новой бесплатной услуги, предназначенной для помощи проектам open-source в выявлении уязвимостей безопасности с использованием продвинутых языковых моделей. Open-source проекты, выбравшие участие в OSS Scanner, будут получать всесторонние периодические отчёты об уязвимостях, полностью создаваемые AI-моделями, включая самый мощный Claude Mythos от Anthropic, без проведения проверки или сортировки людьми.

Цель OSS Scanner — предоставить сопровождающим проекты более раннее обнаружение потенциальных проблем безопасности для улучшения защиты программного обеспечения. Опыт Anthropic с инициативой Project Glasswing по обнаружению уязвимостей показывает, что крупные языковые модели (LLM) значительно улучшились в точном нахождении ошибок в ПО, с успешностью обнаружения, выросшей с менее чем 20% до более 85% на бенчмарках поиска уязвимостей. За последние шесть месяцев их модели выявили более 29 000 кандидатов на уязвимости в крупных проектах, хотя ручная проверка пока охватила лишь часть из них.

Автоматизируя процесс сканирования и быстро предоставляя необработанные отчёты, сгенерированные моделями, OSS Scanner позволяет чаще проводить аудит open-source кода. Однако компромиссом является то, что некоторые находки могут быть ложными срабатываниями или ошибочными из-за отсутствия проверки человеком. До настоящего времени отзывы от первопроходцев, таких как PostgreSQL, OpenSSL и wolfSSL, положительные, отмечая высокую достоверность и сопровождаемые отчёты с практичными патчами. Независимые специалисты по пентесту также оценили выборку критических отчётов, подтвердив 88% уровень принятия согласно стандартам координированного раскрытия уязвимостей Anthropic.

Каждый отчёт OSS Scanner включает подробное объяснение уязвимости, инструкции по её воспроизведению и, когда возможно, предложенный патч. Anthropic рассчитывает, что такая прозрачность легко интегрируется в рабочие процессы сопровождающих, ускоряя устранение проблем на фоне нарастания угроз, когда эксплойты могут быстро появляться.

Проекты, желающие участвовать, могут зарегистрироваться, создав pull request в выделенном репозитории GitHub, при условии соответствия критериям, схожим с программой Google OSS-Fuzz, уделяющей внимание программам, критичным для инфраструктуры и безопасности пользователей. Anthropic также предлагает дополнительные инструменты, такие как бесплатная подписка на Claude Max 20x в рамках программы Cyber Verification, помогая специалистам по безопасности с устранением уязвимостей.

Хотя AI-сканеры уязвимостей не новы, OSS Scanner от Anthropic подчеркивает быструю доставку качественных автоматизированных отчётов сообществу open-source бесплатно. По мере развития возможностей языковых моделей этот инструмент может стать важным активом в защите широко используемого программного обеспечения от новых киберугроз.

Категория: Приложения Статус выпуска: запущен Дата выпуска: отсутствует Название продукта: OSS Scanner