Anthropic lancerer nu OSS Scanner, en gratis opt-in tjeneste, der løbende scanner open source-projekter for sårbarheder med virksomhedens stærkeste AI-modeller. I praksis betyder det, at vedligeholdere kan tilmelde deres projekt og derefter modtage periodiske sikkerhedsrapporter, uden at skulle betale for værktøjet.
Ifølge Anthropic i introduktionen af deres nye “Cyber Mission” på Anthropic Newsroom bliver rapporterne genereret af modellen og sendt af sted uden menneskelig gennemgang. Hver rapport indeholder et bud på, hvordan fejlen kan udnyttes (proof of concept), en forklaring samt et forslag til rettelse, når modellen kan komme med et. Den manglende menneskelige kvalitetssikring skal gøre leveringen hurtigere, men betyder også, at nogle rapporter kan være forkerte, for eksempel med en misvisende vurdering af, hvor alvorlig en sårbarhed er.
Rapporterne bliver ikke kontrolleret af mennesker
Anthropic forventer en “true-positive rate” på over 90 procent, altså at mere end ni ud af ti fund reelt er sårbarheder. Det er virksomhedens forventning, ikke et uafhængigt målt resultat, men samtidig en indrømmelse af, at en del vil være støj, som vedligeholderen selv skal sortere fra. Virksomheden beskriver derfor OSS Scanner som målrettet projekter, der har kapacitet til at håndtere og sortere og prioritere mange fund.
For projekter, der ikke kan følge med mængden, siger Anthropic, at de fortsat vil bruge en mere traditionel proces, hvor fund bliver verificeret af mennesker, før de meldes til vedligeholderne via virksomhedens koordinerede sårbarhedsrapportering.
Claude skal også hjælpe med at beskytte kritisk infrastruktur
Cyber Mission omfatter desuden et program for virksomheder, der beskytter blandt andet elnet, vandforsyning og industrielle anlæg. Her stiller Anthropic modeller, ingeniører og trusselsresearch til rådighed gennem en første gruppe på elleve partnere, blandt andre Dragos, Rockwell Automation og CrowdStrike.
Den slags anlæg kan ikke altid slukkes, blot fordi en scanner finder en fejl. En rettelse skal kunne gennemføres sikkert, mens maskinerne og forsyningen fungerer. Programmet skal derfor ikke kun finde flere sårbarheder, men hjælpe specialisterne med at få dem håndteret.
Flere fund er kun nyttige, hvis nogen kan rette dem
For open source-projekter er den gratis scanner et konkret nyt tilbud. Gevinsten afhænger af, om vedligeholderne kan efterprøve rapporterne og omsætte dem til rettelser. En hurtigere advarsel er en fordel; den er ikke i sig selv en lukket sikkerhedsfejl.
Aktører i artiklen
