Anthropic offre scans gratuiti per vulnerabilità open source

Il fornitore di intelligenza artificiale Anthropic ha presentato un servizio gratuito per la ricerca di vulnerabilità nel software open source. Il cosiddetto OSS Scanner esaminerà regolarmente i progetti partecipanti utilizzando i modelli Claude più potenti, incluso Claude Mythos.

Secondo quanto spiegato da Anthropic nel suo annuncio, i modelli generano automaticamente i rapporti senza una revisione umana o una triage. Ciò consente scansioni più rapide e frequenti, ma significa anche che i rapporti possono contenere errori o essere non validi, ha precisato l'azienda. La verifica che una segnalazione rappresenti effettivamente una vulnerabilità di sicurezza deve quindi essere condotta dal singolo progetto. Durante un test, 85 su 97 trovati sarebbero state vulnerabilità di sicurezza reali e nuove, riferisce Anthropic. Il resto sarebbero stati duplicati, casi già noti o falsi allarmi.

A differenza di altri programmi di sicurezza di Anthropic, l'OSS Scanner si rivolge esclusivamente ai progetti open source.

Origine del servizio

Secondo Anthropic, il servizio è nato dalle esperienze con altri programmi di sicurezza come Project Glasswing. Nei sei mesi prima dell'annuncio, Anthropic ha esaminato progetti software e ha trovato oltre 29.000 potenziali vulnerabilità. Tuttavia, l'azienda è riuscita a controllare manualmente solo circa 6.000 di queste. Questo rappresenta un collo di bottiglia attuale, ha affermato l'azienda. Quasi 5.000 ulteriori rapporti non esaminati sono stati quindi inviati direttamente ai manutentori su esplicita richiesta, in parte insieme a patch proposte. Questa procedura ora l'azienda intende estenderla.

Partecipazione al servizio

I progetti open source interessati possono registrarsi tramite GitHub per aderire al servizio di Anthropic.

Caratteristiche principali del servizio

• Utilizzo dei modelli Claude più potenti per le scansioni
• Report generati automaticamente senza intervento umano
• Concentrazione esclusiva su progetti open source
• Invio diretto di segnalazioni ai manutentori

Performance del servizio

Nei test condotti da Anthropic, il servizio ha identificato correttamente vulnerabilità di sicurezza reali nel 85% dei casi, dimostrando una buona efficacia nel rilevare falle nuove. Il restante 15% di segnalazioni includeva duplicati, problemi già noti o falsi positivi.

L'iniziativa rappresenta un significativo passo avanti nella sicurezza del software open source, fornendo uno strumento potenzialmente accessibile a un'ampia gamma di progetti che potrebbero altrimenti avere difficoltà a condurre approfondite analisi di sicurezza.