Claude, 25 Açık Kaynak Projede Neredeyse 500 Güvenlik Sorunu Buldu

Anthropic, Claude'u C, C++, Java, PHP ve Python ile yazılmış 25 büyük açık kaynak projeyi incelemek için kullandığını söylüyor. Projeler beş milyondan fazla satır kod içeriyordu. Analiz, açığa çıkan kodlar, çakışan ayarlar ve 21 yıldır fark edilmemiş bir kusur da dahil olmak üzere neredeyse 500 güvenlik sorunu buldu.

Claude, 3.842'si güvenlik denetimleri ve özellikleriyle ilgili olan 17.000'den fazla yapılandırma seçeneğinin envanterini çıkardı. Anthropic; gereksiz özelliklerin varsayılan olarak açık olup olmadığını, ayar birleşimlerinin güvenliği zayıflatıp zayıflatmadığını ve hassas kodların güvenlik denetimlerinden önce çalışıp çalışmadığını inceledi.

Kimliği doğrulanmış kullanıcılara hizmet vermek üzere tasarlanan 11 projenin tamamında, erişilebilir olmaması gereken kodlara erişilebiliyordu. Anthropic, varsayılan yapılandırmalarda kimlik doğrulaması öncesinde erişilebilen 93 saldırı yüzeyi, kimlik doğrulamasından önce çalışan 37 kod örneği ve kimlik doğrulaması öncesi denetimleri zayıflatan 61 ayar birleşimi bildirdi. 25 projenin tümünde, davranışı belgelerinde açıklanmayan 162 yapılandırma birleşimi buldu.

Anthropic'in örnek incelemesi OpenSSH üzerineydi. Bir arka plan hizmetinin, sunucu yapılandırmasının izin verip vermediğini kontrol etmeden önce deneysel bir kuantum sonrası imza algoritmasını uygulayan 4.500 satır koda erişebildiğini tespit etti. Algoritma varsayılan olarak devre dışıydı, ancak kimliği doğrulanmamış istemciler ayrıştırma koduna erişebiliyordu. Anthropic bulguyu OpenSSH ekibine bildirdi. Ekip sorunu 10.6 sürümünde giderdi; Anthropic, OpenSSH kodunun yaklaşık %20'sinin artık kimliği doğrulanmamış istemciler tarafından erişilemediğini söyledi.

Anthropic, yeniden kullanılabilir bir Claude becerisini ücretsiz ve isteğe bağlı OSS-Scanner hizmetine entegre etmeyi planladığını söylüyor. Bu beceri varsayılan ayarları, güvenlik denetimlerinden önce erişilebilen kodları ve çakışan ayarları inceleyecek. Bulgular dinamik program izleme yoluyla doğrulanacak; kesintiye yol açma ihtimali olan değişiklikler insan incelemesine bırakılacak.