Claude encuentra casi 500 problemas de seguridad en 25 proyectos de código abierto

Anthropic afirma que utilizó Claude para analizar 25 grandes proyectos de código abierto escritos en C, C++, Java, PHP y Python. Los proyectos contenían más de cinco millones de líneas de código. El análisis encontró casi 500 problemas de seguridad, entre ellos código expuesto, ajustes incompatibles y un fallo que había pasado inadvertido durante 21 años.

Claude hizo un inventario de más de 17.000 opciones de configuración, de las cuales 3.842 estaban relacionadas con controles y funciones de seguridad. Anthropic examinó si había funciones innecesarias activadas de forma predeterminada, si ciertas combinaciones de ajustes debilitaban la seguridad y si se ejecutaba código sensible antes de las comprobaciones de seguridad.

Los 11 proyectos diseñados para atender a usuarios autenticados contenían código accesible cuando no debía serlo. Anthropic informó de 93 superficies de ataque previas a la autenticación en configuraciones predeterminadas, 37 casos de código ejecutado antes de la autenticación y 61 combinaciones de ajustes que debilitaban los controles previos a la autenticación. En los 25 proyectos encontró 162 combinaciones de configuración cuyo comportamiento no estaba explicado en la documentación.

El estudio de caso de Anthropic se centró en OpenSSH. La empresa encontró que un daemon podía acceder a 4.500 líneas de código experimental que implementaba un algoritmo de firma poscuántico antes de comprobar si la configuración del servidor lo permitía. El algoritmo estaba desactivado de forma predeterminada, pero los clientes no autenticados podían acceder al código de análisis. Anthropic comunicó el hallazgo a OpenSSH, que lo corrigió en la versión 10.6. Anthropic afirmó que alrededor del 20 % del código de OpenSSH dejó de ser accesible para clientes no autenticados.

Anthropic afirma que planea integrar una habilidad reutilizable de Claude en OSS-Scanner, su servicio gratuito y opcional de análisis de seguridad. La habilidad examinará la configuración predeterminada, el código accesible antes de las comprobaciones de seguridad y los ajustes incompatibles. Los hallazgos se validarán mediante trazado dinámico del programa, y los cambios potencialmente disruptivos quedarán para revisión humana.