Claude hittar nästan 500 säkerhetsproblem i 25 projekt med öppen källkod

Anthropic uppger att företaget använde Claude för att analysera 25 stora projekt med öppen källkod, skrivna i C, C++, Java, PHP och Python. Projekten innehöll mer än fem miljoner kodrader. Analysen hittade nästan 500 säkerhetsproblem, bland annat exponerad kod, motstridiga inställningar och en brist som hade förblivit oupptäckt i 21 år.

Claude sammanställde en förteckning över mer än 17 000 konfigurationsalternativ, varav 3 842 gällde säkerhetskontroller och funktioner. Anthropic undersökte om onödiga funktioner var aktiverade som standard, om kombinationer av inställningar försvagade säkerheten och om känslig kod kördes innan säkerhetskontrollerna.

Alla 11 projekt som var avsedda för autentiserade användare innehöll kod som gick att nå trots att den inte borde vara åtkomlig. Anthropic rapporterade 93 attackytor före autentisering i standardkonfigurationer, 37 fall där kod kördes före autentisering och 61 kombinationer av inställningar som försvagade skyddet före autentisering. I de 25 projekten hittade företaget totalt 162 konfigurationskombinationer vars beteende inte förklarades i dokumentationen.

Anthropics fallstudie gällde OpenSSH. Företaget fann att en daemon kunde nå 4 500 rader experimentell kod för en postkvantbaserad signaturalgoritm innan den kontrollerade om serverkonfigurationen tillät det. Algoritmen var avstängd som standard, men oautentiserade klienter kunde nå kod som tolkar algoritmen. Anthropic rapporterade problemet till OpenSSH, som åtgärdade det i version 10.6. Anthropic uppgav att omkring 20 % av OpenSSH-koden då inte längre gick att nå för oautentiserade klienter.

Anthropic uppger att företaget planerar att integrera en återanvändbar Claude-färdighet i sin kostnadsfria, frivilliga tjänst OSS-Scanner. Färdigheten ska granska standardinställningar, kod som går att nå före säkerhetskontroller och inställningar som står i konflikt. Resultaten ska valideras med dynamisk programspårning, och ändringar som kan störa system ska lämnas för mänsklig granskning.