Az Anthropic ingyenes OSS Scannerje a javításra helyezi a hangsúlyt
Az Anthropic ingyenes, önkéntesen igénybe vehető OSS Scanner szolgáltatása nyílt forráskódú projektek sebezhetőségeit keresi, javításokat javasol és jelentéseket küld a karbantartóknak. A JFrog szerint a mesterséges intelligencia gyorsítja a felfedezést, ezért a biztonsági csapatok számára egyre inkább a javítások feldolgozása és bevezetése válik a fő feladattá.
- Az Anthropic ingyenes, önkéntesen igénybe vehető OSS Scanner szolgáltatást indított.
- A rendszer sebezhetőségeket keres, reprodukciókat és javításjelölteket készít.
- Az Anthropic több mint 29 000 lehetséges sebezhetőséget talált, körülbelül 6 000-et ellenőrzött manuálisan.
- A JFrog szerint a biztonság fő szűk keresztmetszete a felfedezés helyett a javítás kezelése lesz.
- A karbantartói javítások eljuttatása a vállalatok minden érintett buildjébe továbbra is a felhasználók feladata.
Ingyenes szkennelést kínál az Anthropic
Az Anthropic október 8-án jelentette be az OSS Scannert, amely az arra jogosult nyílt forráskódú projektek karbantartóinak kínál ingyenes, önkéntesen bekapcsolható sebezhetőségvizsgálatot. A szolgáltatás a vállalat legerősebb modelljeit, köztük a Claude Mythost használja.
A rendszer kódbázisokat vizsgál, sebezhetőségeket azonosít, javításokat javasol, majd jelentéseket küld közvetlenül a karbantartóknak. A kimenet sebezhetőségi jelentéseket, reprodukciókat és lehetséges javításokat tartalmaz. Ezek teljes egészében modell által készített eredmények, emberi ellenőrzés vagy osztályozás nélkül.
Az Anthropic továbbra is kínál ember által ellenőrzött bejelentéseket az összehangolt sebezhetőségközlési folyamatán keresztül. A vállalat ugyanakkor arra kéri a karbantartókat, hogy ellenőrizzék és teszteljék a találatokat, különösen a téves pozitív eredmények kiszűrése érdekében.
Több tízezer találat, korlátozott emberi kapacitás
A JFrog által idézett adatok szerint az Anthropic több mint 29 000 lehetséges sebezhetőséget fedezett fel, ezek közül azonban eddig körülbelül 6 000-et tudott manuálisan ellenőrizni és osztályozni. Ez nagyjából 23 000 ellenőrizetlen találatot hagy maga után.
Az Anthropic átláthatóan kezeli ezt a helyzetet: a gyorsított, önkéntes folyamat kifejezetten nem validált jelentéseket is továbbít. A vállalat szerint a modellek korai tesztelése során még ezek a találatok is nagy pontosságot mutattak.
A JFrog értékelése szerint az ilyen mennyiségű eredmény komoly feldolgozási hátralékot okozhat azoknál a vállalatoknál, amelyek a vizsgált nyílt forráskódú szoftvereket használják. Az Anthropic bejelentése azt is állítja, hogy az LLM-ek teljesítménye az akadémiai teszteken a sebezhetőségek kevesebb mint 20 százalékának felismeréséről több mint 85 százalékra javult. A modellek már alacsonyabb súlyosságú hibákat is képesek kritikus támadásokká összekapcsolni, és működő bizonyító kódot létrehozni.
A felfedezést a felelős javításnak kell követnie
A JFrog szerint az OSS Scanner a sebezhetőségek megtalálását gyorsítja fel, de az upstream, vagyis a karbantartói oldalon elkészített javítás önmagában nem garantálja a downstream felhasználók védelmét. A szervezeteknek továbbra is meg kell állapítaniuk, hogy egy hiba érinti-e az általuk futtatott binárisokat, tárolókat vagy modelleket, elérhető-e éles forgalomból, és milyen prioritást kapjon.
Egy csomag súlyossági pontszáma önmagában nem mutatja meg a szervezet tényleges kockázatát. A javítás bevezetése szintén külön feladat, mivel a függőségek frissítése működési kockázatot okozhat, a tranzitív függőségek pedig tovább növelik az összetettséget. A JFrog ezért olyan megközelítést ír le, amelyben a felderítés, a rangsorolás és a javítás folyamatos rendszerként működik.
Az OSS Scanner a karbantartóknak talál sebezhetőségeket és javasol javításokat, de a javításokat nem juttatja el automatikusan a felhasználók minden érintett buildjébe. A JFrog szerint ez a felelősség a vállalatoknál marad, miközben a támadók is hozzáférhetnek hasonló, fejlett AI-képességekhez. A védekezés előnye így egyre inkább azon múlik, hogy a szervezetek milyen gyorsan és ellenőrzött módon képesek kezelni a folyamatosan érkező javításokat.
