A Chainguard Harness futó alkalmazásokban keres bizonyított hibákat

Futó alkalmazást vizsgál, nem csak forráskódot

A Chainguard október 14-én jelentette be a Chainguard Harness elindítását. A szolgáltatás egy szervezet forráskódjából felépíti az alkalmazást, majd egy elkülönített microVM-ben, vagyis mikrovirtuális gépben indítja el. Ezt követően egy frontier AI-modell, például az Anthropic Claude Mythos 5.1 modellje, a futó alkalmazást vizsgálja kihasználható sérülékenységek után kutatva.

A vállalat szerint ez a megközelítés olyan hibák felderítését is lehetővé teszi, amelyek csak működés közben, az alkalmazás kontextusában jelennek meg. Ide sorolja a logikai hibákat, a befecskendezési útvonalakat és az erőforrás-kimerítési hibákat. A hagyományos szkennerek ezzel szemben statikus kódot elemeznek, így olyan problémákat is jelezhetnek, amelyek ténylegesen nem érhetők el, miközben egyes futásidejű hibákat nem feltétlenül találnak meg.

Minden találatot újra ellenőriznek

A Harness minden felfedezett sérülékenységet friss, elkülönített környezetben játszik újra mindaddig, amíg az ismételten reprodukálható. A Chainguard így a közlése szerint bizonyított találatokat ad át, csökkentve a téves riasztások és a biztonsági zaj mennyiségét.

Ha a rendszer megerősít egy hibát, a jelentés megbízható reprodukciós lépéseket és az adott kódbázishoz írt javítást tartalmaz. A szolgáltatás elsődleges és nyílt forráskódú kódhoz, valamint nyílt forráskódú függőségekhez is adhat egyedi ajánlásokat. A Chainguard mérnöke minden javítást és jelentést átnéz és jóváhagy, mielőtt az eljut az ügyfélhez.

A futtatások a Chainguard OS-re épülő, saját microVM-sandboxban zajlanak. A vállalat szerint ezekben nincs hálózati kimenet és hitelesítő adat, miközben teljes körű naplózás készül. A nyílt forráskódú projektekben talált sérülékenységeket a Chainguard az Athena nevű, összehangolt sérülékenységközlési folyamatán keresztül továbbítja a karbantartóknak.

Anthropic piacterén érhető el, béta várólistával

A Chainguard Harness az Anthropic Claude Marketplace felületén is elérhető. A vállalat közlése szerint a vállalati ügyfelek meglévő Anthropic-kötelezettségvállalásuk egy részét használhatják a beszerzésére, az Anthropic pedig az invoicingot, vagyis a számlázást kezeli. Így az ügyfelek külön beszerzési folyamat nélkül, összevontan kezelhetik AI-költéseiket.

Induláskor a Chainguard mérnökei az ügyfelek nevében működtetik a Harness rendszert. A Chainguard által már terjesztett, megbízható nyílt forráskódú artefaktumokon a vizsgálat után javított buildeket biztosítanak a Chainguard Repositoryn keresztül. Ügyfélforráskód esetén mérnök által ellenőrzött jelentést adnak át, amely tartalmazza a validált találatokat, azok súlyosságát, hatását, reprodukciós lépéseit és a javasolt elhárítást.

A szolgáltatás béta várólistán keresztül érhető el. A Chainguard szerint a Harness használatához az ügyfeleknek nincs szükségük saját hozzáférésre frontier modellekhez, miközben azok képességeit a saját alkalmazásaikon használhatják. A cég Dan Lorenc vezérigazgató és társalapító szerint a megoldás a biztonsági csapatoknak bizonyított sérülékenységeket és szállítható javításokat ad.