Anthropic compie un passo deciso nel campo della sicurezza informatica con OSS Scanner, un servizio volontario che mette a disposizione dei progetti open source scansioni di sicurezza periodiche e approfondite. L'iniziativa nasce dall'esperienza maturata con Claude nella ricerca di vulnerabilità e punta ad aiutare i manutentori a individuare e correggere le falle nel codice, offrendo gratuitamente l'accesso ai modelli IA più avanzati dell'azienda, incluso Claude Mythos.
Come funziona e cosa contiene un report
I report generati da OSS Scanner possono includere un metodo autonomo per riprodurre il problema, una spiegazione dettagliata della vulnerabilità, informazioni su quando il difetto è stato introdotto nel codice e una possibile patch correttiva, quando disponibile. Durante i test preliminari, Anthropic ha individuato vulnerabilità collegabili a exploit di esecuzione di codice da remoto senza autenticazione, a dimostrazione della rilevanza potenziale di queste analisi. Tuttavia, i risultati non saranno verificati da esseri umani prima di essere consegnati ai manutentori: un canale diretto per chi preferisce ricevere i report non appena disponibili, accettando il rischio di risultati errati, duplicati o non pertinenti.
Precisione e feedback dai progetti
Per valutare una versione preliminare dello scanner, Anthropic ha chiesto a penetration tester esperti di verificare 97 vulnerabilità critiche o ad alta gravità individuate in 48 progetti. Di queste, 85 hanno soddisfatto i criteri del processo di divulgazione coordinata (CVD), undici delle restanti dodici erano problemi reali ma duplicati, e solo una si è rivelata un falso positivo. I primi riscontri dei manutentori sono positivi: PostgreSQL ha ricevuto correzioni quasi direttamente utilizzabili, wolfSSL ha trasformato cinque segnalazioni in CVE, e anche OpenSSL, HotCPR e curl hanno espresso feedback favorevoli. curl in particolare ha individuato una vulnerabilità considerata particolarmente grave rispetto ai problemi segnalati negli ultimi anni.
L'iniziativa si ispira a OSS-Fuzz di Google e si distingue da Claude Security, il prodotto aziendale per la scansione del codice. L'accesso è volontario e soggetto a criteri di ammissione simili a quelli di OSS-Fuzz, con valutazione caso per caso. I responsabili principali possono candidare il progetto inviando una pull request al repository GitHub ufficiale. Anthropic ha già inviato quasi 5.000 report ai manutentori che avevano richiesto tutto il materiale disponibile, compresi i risultati non convalidati. Il successo di OSS Scanner dipenderà dalla capacità di mantenere alta la qualità dei report e di aiutare i manutentori a distinguere rapidamente le vulnerabilità effettive dai falsi allarmi.
