Безплатно сканиране на уязвимости без човешка проверка

13.10

време за четене: 3 мин.

Anthropic отвори услуга, която сканира проекти с отворен код за уязвимости и изпраща намереното направо на хората, които ги поддържат. Докладът носи работещо доказателство и предложена поправка, но тръгва без човек да го е погледнал преди това. Отговорността при сбъркан доклад е ограничена до 1000 долара.

Робот изсипва документи в голяма фуния, но отдолу в ръцете на човек капе само тънка струйка, а останалото прелива през ръба на пода. Тъмна вечерна зала.

Какво обяви Anthropic

На 8 октомври Anthropic представи инициатива в две части. Първата дава на защитниците на критична инфраструктура достъп до челните модели на компанията, инженери на място и собственото ѝ проучване на заплахите. Сред основаващите партньори са единайсет организации: Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC и Rockwell Automation.

Насочена е към операционната технология, тоест контролерите, управляващия софтуер и промишлените мрежи, които движат електропреносни мрежи, водоснабдяване и транспорт. Какво точно получават партньорите и кой плаща изчислителния ресурс не е обявено.

Според Booz Allen автономните атаки с изкуствен интелект са следващата граница, а същественият въпрос вече е колко контрол може да получи изкуственият интелект върху промишлен процес и колко бързо. Обявено е, че още партньори и сектори ще се присъединят през следващите месеци.

Втората част е скенер за проекти с отворен код и тя е безплатна. Инициативата не започва от нула: по-ранна програма, в която партньори са откривали уязвимости, е влята в разширена програма за проверка, която дава на повече защитници достъп до най-способните модели на компанията.

Защо безплатно сканиране без проверка е различно

Досегашните програми за намиране на уязвимости минават през човек, преди находката да стигне до засегнатия проект. Тук докладът пътува направо. Всеки носи доказателство за концепцията, обяснение и, където е възможно, предложена поправка.

Anthropic очаква над 90% от находките да са истински. Очакване не е измерване, а разликата има значение за човека от другата страна, защото проверката остава негова. Безплатно сканиране на чужд код е услуга с получател, който не я е поръчал в обичайния смисъл, а само се е вписал за нея.

Нашият анализ: намереното изпреварва прегледаното

Числата около програмата показват несиметричност, която заслужава внимателен прочит. За шест месеца моделите са отбелязали над 29 000 възможни уязвимости, а екипът е успял да прегледа около 6000 от тях. Останалото не е минало през човешки поглед и точно това е причината докладите да тръгнат без предварителна проверка.

Отделна проверка дава представа за качеството им. Специалисти по проникване са прегледали 97 находки с критична и висока степен от 48 проекта и са допуснали 85 от тях до процедурата за разкриване. Числото 85 се отнася до проверените 97, не до всички находки, и идва от по-ранна версия на услугата.

Два конкретни проекта показват и двете страни на услугата. wolfSSL е получил 74 доклада, от които всички освен два са се оказали основателни, а пет са станали официално регистрирани уязвимости. Сред находките при curl е и една от най-тежките уязвимости, съобщени за този проект през последните години. Същата несиметричност между намиране и поправяне описахме и в по-ранна наша новина.

Какво може да се провери

Проект с отворен код, който организацията поддържа или ползва, вече може да получи такъв доклад. Струва си да се уточни предварително кой го отваря и по какъв ред, защото доклад с работещо доказателство е и готова инструкция за атака, ако попадне в грешни ръце.

Условията за ползване също заслужават прочит. В тях е записано, че докладите може да преценят погрешно степента на опасност или да предложат поправка, която чупи работещо поведение. Поправка от машина се тества като всяка друга промяна, не се прилага заради авторитета на подателя. Ограничението на отговорността до 1000 долара означава, че рискът от грешка остава при получателя.

Заключение

Безплатният скенер мести тежестта от намирането към проверката. Когато машината намира по-бързо, отколкото хората успяват да четат, тясното място се премества, но не изчезва.

Помагаме на български организации да подредят реакцията си при доклад за уязвимост, преди той да пристигне. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при въвеждане на автоматично сканиране на код и при поддръжка на проекти с отворен код. [Свържете се с нас за консултация: academy@razvivai.se]