Anthropic اسکن‌های امنیتی رایگان هوش مصنوعی ارائه می‌کند؛ کشف باگ‌ها از بررسی انسانی پیشی گرفته است
ماموریت سایبری Anthropic ترکیبی از اسکن‌های امنیتی رایگان برای پروژه‌های متن‌باز و پشتیبانی از ارائه‌دهندگانی است که از زیرساخت‌های حیاتی محافظت می‌کنند.
Anthropic یک سرویس رایگان اسکن امنیتی برای پروژه‌های متن‌باز واجد شرایط معرفی کرده است؛ اقدامی که پس از آن انجام شد که مدل‌های این شرکت آسیب‌پذیری‌های احتمالی بیشتری نسبت به ظرفیت بررسی دستی پژوهشگران شناسایی کردند. OSS Scanner به نگه‌دارندگان پروژه‌های مشارکت‌کننده، گزارش‌های منظم تولیدشده توسط هوش مصنوعی ارائه می‌کند که شامل توضیح درباره مشکل، شواهد مربوط به نحوه بازتولید باگ و در صورت امکان پیشنهادهایی برای رفع آن است.
این سرویس بخشی از «ماموریت سایبری Anthropic» است؛ برنامه‌ای که در کنار OSS Scanner، مدل‌های Claude، مهندسان مستقر و پژوهش‌های مربوط به تهدیدها را برای ارائه‌دهندگانی به کار می‌گیرد که از شبکه‌های برق، سامانه‌های آب‌رسانی، شبکه‌های حمل‌ونقل و سیستم‌های دولتی محافظت می‌کنند.
Anthropic می‌گوید مدل‌های این شرکت طی شش ماه گذشته بیش از ۲۹ هزار آسیب‌پذیری احتمالی را در پروژه‌های نرم‌افزاری شناسایی کرده‌اند. تیم این شرکت به‌صورت دستی حدود ۶ هزار مورد را بررسی و ارزیابی کرده است. نزدیک به ۵ هزار گزارش نیز برای نگه‌دارندگانی ارسال شده که درخواست دریافت همه یافته‌های موجود، از جمله موارد تأییدنشده، را داده بودند.
OSS Scanner این مسیر سریع‌تر را رسمی می‌کند. گزارش‌ها بدون بررسی انسانی به دست پروژه‌ها می‌رسند و مسئولیت بررسی یافته‌ها و تصمیم‌گیری درباره اصلاحات بر عهده خود پروژه‌های مشارکت‌کننده خواهد بود.
گزارش‌های سریع‌تر، نیازمند بررسی و تأیید بیشتر هستند
این اسکنر از قدرتمندترین مدل‌های Anthropic، از جمله Claude Mythos، استفاده می‌کند. هدف آن پروژه‌هایی است که ظرفیت کافی برای بررسی گزارش‌های دریافتی را دارند. Anthropic همچنان روند فعلی خود برای اشتراک‌گذاری آسیب‌پذیری‌های تأییدشده توسط انسان را ادامه خواهد داد، به‌ویژه برای پروژه‌هایی که چنین منابعی در اختیار ندارند.
در ارزیابی نسخه اولیه این ابزار، کارشناسان تست نفوذ ۹۷ یافته با شدت بحرانی یا بالا را در ۴۸ پروژه بررسی کردند. Anthropic گزارش داده است که ۸۵ مورد، معادل ۸۸ درصد، معیارهای فرآیند افشای هماهنگ آسیب‌پذیری این شرکت را داشته‌اند. از ۱۲ مورد باقی‌مانده، ۱۱ مورد مشکلات واقعی بودند که با آسیب‌پذیری‌های شناخته‌شده یا یافته‌های دیگر تکرار می‌شدند و یک مورد نیز نامعتبر بود.
این نتایج مربوط به مجموعه‌ای انتخاب‌شده از یافته‌های با شدت بالا است و همه گزارش‌هایی را که این سرویس تولید می‌کند شامل نمی‌شود. Anthropic همچنین اذعان کرده است که بازخوردهایی دریافت کرده مبنی بر اینکه اسکنر ممکن است شدت برخی مشکلات را بیش از حد برآورد کند یا فرضیات امنیتی یک پروژه را به‌درستی درک نکند.
در بازخورد منتشرشده همراه با این اعلامیه، تاد اوسکا از wolfSSL گفته است: «ما کیفیت سیگنال این گزارش‌ها را بالا یافتیم: از ۷۴ گزارشی که دریافت کردیم، همه به‌جز دو مورد معتبر بودند و پنج مورد به CVE تبدیل شدند.»
این سرویس بر پایه Project Glasswing ساخته شده است؛ طرحی که در آن Anthropic نرم‌افزارهای متن‌باز پرکاربرد را اسکن و یافته‌های بررسی‌شده را به‌صورت خصوصی گزارش می‌کرد. این شرکت می‌گوید آن پروژه همچنین تأخیر میان کشف آسیب‌پذیری‌ها و رفع آن‌ها را آشکار کرد؛ تأخیرهایی که گاهی ماه‌ها طول می‌کشیدند.
پشتیبانی از سامانه‌هایی که نمی‌توان به‌سادگی آن‌ها را خاموش کرد
برنامه دفاع از زیرساخت‌های حیاتی، محدودیت متفاوتی را هدف قرار می‌دهد: تجهیزات صنعتی و سامانه‌های کنترلی را معمولاً نمی‌توان هنگام فعالیت به‌راحتی وصله کرد.
Anthropic در مرحله نخست از طریق ۱۱ ارائه‌دهنده‌ای که اپراتورها هم‌اکنون برای ایمن‌سازی سامانه‌های خود استفاده می‌کنند، با این برنامه همکاری خواهد کرد. شرکای بنیان‌گذار این برنامه عبارت‌اند از Accenture، Booz Allen، CrowdStrike، Deloitte، Dragos، Hitachi، Insane Cyber، Nozomi Networks، Palo Alto Networks، PwC و Rockwell Automation.
به گفته Anthropic، چند شریک این برنامه هم‌اکنون از Claude برای رسیدگی به آسیب‌پذیری‌ها استفاده می‌کنند. این شرکت اعلام کرده است که از گروه اولیه شرکا برای مشخص کردن روش‌های عملی استفاده خواهد کرد و سپس برنامه را به شرکای بیشتر و بخش‌های دیگر گسترش می‌دهد.
Anthropic در اعلام راه‌اندازی «ماموریت سایبری» در LinkedIn نوشت: «این کار زمان خواهد برد و انتظار داریم ماموریت سایبری با یادگیری ما، همراه با بخش‌های دولتی و خصوصی، درباره آنچه مؤثر است، تغییر کند.»
دسترسی به پروژه بستگی دارد
صلاحیت دریافت OSS Scanner به‌صورت موردی بررسی خواهد شد و تمرکز آن بر پروژه‌هایی است که تأثیر مهمی بر زیرساخت‌ها و امنیت کاربران دارند. نگه‌دارندگان اصلی پروژه‌ها می‌توانند با ارسال یک درخواست Pull Request و استفاده از قالب پروژه در مخزن GitHub مربوط به OSS Scanner شرکت Anthropic، برای عضویت درخواست دهند.
شرکت‌هایی که محصولات یا خدمات امنیتی برای زیرساخت‌های حیاتی ارائه می‌کنند نیز می‌توانند علاقه‌مندی خود را برای برنامه دفاعی اعلام کنند. تیم‌های امنیتی و نگه‌دارندگان نرم‌افزارهای متن‌باز همچنین می‌توانند برای برنامه توسعه‌یافته Cyber Verification Program متعلق به Anthropic درخواست دهند تا به قابلیت‌های پیشرفته Claude برای فعالیت‌های دفاعی دسترسی پیدا کنند.