Η Anthropic λανσάρει δωρεάν εργαλεία ασφαλείας AI για λογισμικό ανοιχτού κώδικα

Η Anthropic λάνσαρε την Πέμπτη το OSS Scanner, μια δωρεάν υπηρεσία που πραγματοποιεί τακτικούς ελέγχους ευπαθειών σε κατάλληλα έργα ανοιχτού κώδικα, χρησιμοποιώντας τα πιο ικανά μοντέλα της, όπως το Claude Mythos. Το εργαλείο αποτελεί μέρος μιας νέας πρωτοβουλίας που η εταιρεία ονομάζει Anthropic Cyber Mission. Η προσπάθεια αυτή περιλαμβάνει επίσης ένα Πρόγραμμα Άμυνας Κρίσιμων Υποδομών, το οποίο βασίζεται σε 11 ιδρυτικά μέλη.theverge+1

Η εταιρεία ποντάρει στο ότι η τεχνητή νοημοσύνη μπορεί να βοηθήσει τους αμυνόμενους να συμβαδίσουν με τους επιτιθέμενους, οι οποίοι χρησιμοποιούν τα ίδια εργαλεία. "Είναι ευκολότερο από ποτέ να εντοπιστούν ευπάθειες, αλλά η επαλήθευση, η ιεράρχηση και η διόρθωση αυτών των ευρημάτων παραμένουν πρόκληση", ανέφερε η Anthropic στην ανακοίνωσή της.anthropic

Ταχύτερες αναφορές, χωρίς ανθρώπινη παρέμβαση

Κάθε αναφορά περιλαμβάνει μια απόδειξη της ευπάθειας, επεξήγηση και, όπου είναι δυνατόν, προτεινόμενη λύση. Οι αναφορές συντάσσονται από το μοντέλο και αποστέλλονται στους διαχειριστές χωρίς ανθρώπινη αναθεώρηση. Η Anthropic δήλωσε ότι αυτό επιταχύνει τη διαδικασία, αλλά σημαίνει ότι ορισμένες αναφορές μπορεί να είναι λανθασμένες, για παράδειγμα ως προς την αξιολόγηση της σοβαρότητας. Η εταιρεία αναμένει ότι πάνω από το 90% των ευρημάτων θα αφορά πραγματικά σφάλματα. Σε προηγούμενη δοκιμή, ειδικοί ελεγκτές ασφαλείας που αξιολογούν τις αποκαλύψεις της Anthropic εξέτασαν 97 ευρήματα κρίσιμης και υψηλής σοβαρότητας σε 48 έργα. Ενέκριναν τα 85 για δημοσιοποίηση, ενώ μόνο ένα από τα υπόλοιπα αποδείχθηκε ψευδώς θετικό.siliconangle+2

Οι διαχειριστές που δοκίμασαν την υπηρεσία ήταν θετικοί. Ο Todd Ouska της wolfSSL δήλωσε: "από τις 74 αναφορές που λάβαμε, όλες εκτός από δύο ήταν έγκυρες και πέντε μετατράπηκαν σε CVE". Ο Anton Arapov της OpenSSL Corporation ανέφερε ότι μια αναφορά με συνημμένο λειτουργικό exploit είναι "ουσιαστικά έτοιμη δουλειά για έναν μηχανικό".unite+1

Η υπηρεσία προέκυψε από έναν όγκο εκκρεμοτήτων. Τους τελευταίους έξι μήνες, τα μοντέλα της Anthropic εντόπισαν πάνω από 29.000 πιθανές ευπάθειες, αλλά το προσωπικό είχε εξετάσει μόνο περίπου 6.000. Ορισμένοι διαχειριστές ζήτησαν να λαμβάνουν όλα τα ευρήματα, είτε έχουν ελεγχθεί είτε όχι. Για την εγγραφή, οι κύριοι διαχειριστές ενός έργου υποβάλλουν ένα pull request στο αποθετήριο GitHub της Anthropic. Η επιλεξιμότητα ακολουθεί το πρότυπο OSS-Fuzz της Alphabet Inc. ↗ 0.87% της Google: "κρίσιμος αντίκτυπος στις υποδομές και την ασφάλεια των χρηστών". Το The Register ανέφερε ότι η υπηρεσία λειτουργεί υπό τους όρους χρήσης της Anthropic, οι οποίοι επιτρέπουν τη χρήση των δεδομένων εισόδου και εξόδου για την εκπαίδευση μοντέλων. Τα έργα που δεν μπορούν να διαχειριστούν τον ακατέργαστο όγκο ευρημάτων θα συνεχίσουν να λαμβάνουν αναφορές επαληθευμένες από ανθρώπους.anthropic+2

Προστασία κρίσιμων υποδομών

Το πρόγραμμα υποδομών παρέχει μοντέλα Claude, επιτόπιους μηχανικούς και έρευνα απειλών σε παρόχους ασφαλείας που εργάζονται σε δίκτυα ηλεκτροδότησης, συστήματα ύδρευσης και δίκτυα μεταφορών. Οι ιδρυτικοί εταίροι είναι οι Accenture ↗ 0.34%, Booz Allen, CrowdStrike ↗ 4.57%, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks ↗ 5.09%, PwC και Rockwell Automation ↘ 0.36%. Ο Andrew Turner της Booz Allen χαρακτήρισε τη λειτουργική τεχνολογία ως "το επόμενο σύνορο για αυτόνομες επιθέσεις με χρήση AI". Το Axios ανέφερε ότι η Anthropic δεν έχει διευκρινίσει αν οι εταίροι θα έχουν δωρεάν πρόσβαση στα μοντέλα ή ποιος θα καλύψει το κόστος υπολογιστικής ισχύος.cyberscoop+2

Βασισμένο στο Glasswing

Και τα δύο προγράμματα βασίζονται στο Project Glasswing, την προσπάθεια που ξεκίνησε η Anthropic τον Απρίλιο. Η εταιρεία ενσωμάτωσε το Glasswing σε ένα διευρυμένο Πρόγραμμα Κυβερνο-Επαλήθευσης στις 6 Οκτωβρίου. Η Anthropic δήλωσε ότι το Glasswing εντόπισε πολλές ευπάθειες, αλλά δεν έχει μειώσει ακόμη επαρκώς τον κυβερνοκίνδυνο. Η εταιρεία προβλέπει ότι η τεχνητή νοημοσύνη θα ευνοήσει τους αμυνόμενους εντός δύο ετών, αν και σημειώνει ότι αυτό μπορεί να μην ισχύει βραχυπρόθεσμα. Το The Register επισήμανε ότι η κυκλοφορία έρχεται μετά από πρόσφατα περιστατικά όπου μοντέλα αιχμής παραβίασαν οργανισμούς, συμπεριλαμβανομένης της Hugging Face.theregister+2