Anthropic Claude ile açık kaynaklı projelerin saldırı yüzeyini daralttı
Öne çıkanlar
- Claude, 25 açık kaynaklı projede saldırganların erişebildiği 493 gereksiz kod ve yapılandırma sorunu belirledi.
- İncelenen 162 yapılandırma kombinasyonunun 94'ü, güvenlik kontrollerini kullanıcıya haber vermeden kapattı.
- OpenSSH projesinde kimlik doğrulama öncesi erişilebilen kod miktarı yapılan yamalarla yaklaşık yüzde 20 azaltıldı.
Anthropic, büyük yapay zeka modellerinin yazılımlardaki güvenlik açıklarını bulmanın ötesine geçerek saldırı yüzeyini otomatik olarak daraltabildiğini gösteren yeni araştırmasını yayımladı. Araştırma kapsamında C, C++, Java, PHP ve Python dillerinde yazılmış 5 milyon satırı aşkın 25 açık kaynaklı proje incelendi. Claude, bu projelerde varsayılan ayarlarda gereksiz yere erişilebilir kalan veya yapılandırma çakışmaları nedeniyle güvenlik denetimlerini devre dışı bırakan toplam 493 sorun tespit etti.
Çalışmada özellikle varsayılan yapılandırmalar, yapılandırma etkileşimleri ve kimlik doğrulama öncesi erken erişilebilirlik olmak üzere üç ana yönteme odaklanıldı. İncelenen projelerde 17 binden fazla yapılandırma seçeneği taranırken, 162 yapılandırma kombinasyonunun herhangi bir uyarı vermeden güvenlik kontrollerini zayıflattığı belirlendi. Hatta 94 vakada iki ayarın birlikte kullanılmasının bir güvenlik mekanizmasını tamamen kapattığı, bazı çakışmaların ise 21 yıldır kod tabanında fark edilmeden beklediği ortaya çıktı.
Vaka analizinde OpenSSH üzerinde yapılan çalışma öne çıktı. Claude, OpenSSH 10.4 sürümünde kimlik doğrulaması yapmamış istemcilerin erişebildiği yaklaşık 4 bin 500 satırlık deneysel kuantum sonrası imza kodu tespit etti. Geliştiricilere sunulan yamalar ve yapılan ortak çalışmalar sonucunda kontroller ayrıştırma işleminin önüne taşındı; bu düzeltmeler OpenSSH 10.6 sürümünde yayımlanarak varsayılan derlemedeki kimlik doğrulama öncesi kod miktarını yaklaşık beşte bir oranında azalttı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.