Anthropic pristato nemokamus AI saugumo skenavimus atvirojo kodo projektams

Anthropic PBC paskelbė apie naują paslaugą – OSS Scanner – kuri suteikia atvirojo kodo projektams galimybę gauti periodinius, išsamūs saugumo skenavimus naudojant įmonės stipriausius AI modelius, be jokios išankstinės išlaidos. Ši iniciatyva yra dalis platesnio „Anthropic Cyber Mission“ projekto, kurio tikslas – apsaugoti tiek kritinę infrastruktūrą, tiek atvirojo kodo ekosistemą nuo vis didėjančių AI varomų grėsmių.

Paslaugos esmė – automatizuoti pažeidžiamumų aptikimą ir pateikti tiesioginius, išsamiai dokumentuotus pranešimus projekto prižiūrėtojams. Pagal SiliconANGLE šaltinį, OSS Scanner veikia kaip nuolatinė paslauga, kurią gali įsigyti bet kuris tinkamas projektas, pateikdamas „pull request“ į Anthropic GitHub saugyklą. Įvertinimas atliekamas atsižvelgiant į projekto poveikį infrastruktūrai ir naudotojų saugumui, o projektai, neturintys pakankamai resursų žaliųjų duomenų apdorojimui, vis tiek gaus žmogaus patikrintus pranešimus per esamą atskleidimo procesą.

Kaip veikia OSS Scanner?

Saugus serverių kambarys su šviesiomis rūgštimis

OSS Scanner remiasi patikimais AI modeliais, įskaitant Claude Mythos, kurie peržiūri kodo bazes ir generuoja „reproducer“ – savarankišką testą, galintį atkurti pažeidžiamumą. Kiekvienas pranešimas taip pat apima galimą pataisą ir kodo istorijos „bisection“ analizę, kuri nurodo, kada klaida buvo įvesta. Ši informacija, kaip teigia SiliconANGLE, leidžia prižiūrėtojams greičiau suprasti problemą ir imtis veiksmų be papildomų žmogiškų patikrinimų.

Ankstyvieji bandymai parodė, kad iš 97 kritinių ir aukšto rizikos lygio radinių, 85 buvo patvirtinti kaip tinkami atskleidimui, o likusieji dažniausiai pasikartojo jau žinomus trūkumus. WolfSSL Inc. patvirtino, kad iš 74 gautų pranešimų 72 buvo teisingi, o penki iš jų tapo CVE. Šie duomenys rodo, kad modelio tikslumas yra pakankamai aukštas, nors kai kurie pranešimai gali turėti netikslų sunkumo įvertinimą.

Kritinės infrastruktūros programos kontekstas

OSS Scanner yra tik viena iš dviejų „Anthropic Cyber Mission“ dalių. Kita – Critical Infrastructure Defense Program – skirta padėti saugumo įmonėms, dirbančioms su elektros tinklais, vandens sistemomis ir kitais OT (operational technology) sprendimais. Ši programa jau sulaukė 11 partnerių, tarp kurių yra Accenture, Deloitte, CrowdStrike, Palo Alto Networks, Hitachi ir Rockwell Automation. Šie partneriai teikia konsultacijas, saugumo sprendimus ir netgi gamina bei atnaujina techninę įrangą, kuri dažnai negali būti išjungta dėl ilgų eksploatacijos laikotarpių.

Atvirojo kodo bendruomenės reakcija

Atviro kodo fragmentas ant kompiuterio ekrano

Nauja paslauga sulaukė didelio susidomėjimo iš kriptovaliutų ir kitų technologijų sektorių. Pagal Cointelegraph, Ethereum kliento kūrėjai iš Nethermind ir Bitcoin bei Lightning piniginės ZEUS jau pateikė prašymus prisijungti prie OSS Scanner. Šie projektai tikisi gauti greitus ir patikimus pranešimus apie galimas spragas, kad galėtų laiku juos ištaisyti ir išvengti galimų atakų. Kiti kandidatai – tokie kaip VirtEngine, decentralizuotos debesų kompiuterijos platforma – taip pat siekia pasinaudoti šia galimybe.

Finansavimas ir ateities perspektyvos

„Anthropic Cyber Mission“ remiasi ne tik technologinėmis priemonėmis, bet ir finansine parama. Įmonė skyrė $4 mln įvairioms organizacijoms, įskaitant OpenSSF ir Apache Software Foundation, o per Project Glasswing suteikė $100 mln naudojimo kreditų. Ši investicija leidžia išlaikyti OSS Scanner nemokamą ir užtikrina, kad projektai galėtų gauti nuolatinius skenavimus be papildomų išlaidų.

Nors paslauga dar tik pradeda veikti, ankstyvieji testai rodo, kad AI modeliai gali suteikti reikšmingą pranašumą prieš potencialius įsilaužėlius, ypač kai kalbama apie OT sistemų, kurios negali būti išjungtos dėl ilgų eksploatacijos ciklų. Anthropic teigia, kad šis požiūris padės sumažinti „vulnerability‑to‑exploit“ laiko tarpą, kai pažeidžiamumas yra aptiktas, bet dar nepakoreguotas.

Išvados

Anthropic OSS Scanner – tai svarbus žingsnis link atvirojo kodo saugumo stiprinimo, suteikiantis projektams prieigą prie pažangiausių AI modelių be jokių tiesioginių išlaidų. Paslaugos integravimas su esamais atskleidimo procesais, partnerystės su kritinės infrastruktūros saugumo lyderiais ir didelė finansinė parama rodo, kad įmonė rimtai žiūri į kibernetinio saugumo iššūkius, susijusius su AI. Jei ši iniciatyva išliks efektyvi, ji gali tapti standartine praktika ne tik atvirojo kodo bendruomenėje, bet ir platesniame technologijų sektoriuje.