Anthropic scannt Open-Source-Projekte kostenlos auf Schwachstellen
Anthropic stellt Open-Source-Projekten seinen OSS Scanner kostenlos zur Verfügung. Das Tool soll automatisch Sicherheitslücken im Code aufspüren, bevor Angreifer sie ausnutzen.
Projekte, die teilnehmen, erhalten gründliche, regelmäßige Sicherheitsprüfungen durch unsere stärksten Modelle kostenlos.
Michael M. Santiago/Getty Images Engadget bei Google hinzufügen: Preferred Source Google Discover Anthropic bietet Open-Source-Projekten mit seinem OSS Scanner eine neue Möglichkeit, nach Schwachstellen zu suchen. „Projekte, die teilnehmen, erhalten gründliche, regelmäßige Sicherheitsprüfungen durch unsere stärksten Modelle kostenlos“, kündigte das Unternehmen an.
Wie sie kürzlich gezeigt haben, sind KI-Modelle hervorragend darin, Schwachstellen zu finden (und auszunutzen). Der neue Scanner könnte Open-Source-Entwicklern frühzeitig und kostenlos auf potenzielle Sicherheitsprobleme aufmerksam machen, allerdings mit dem Nachteil, dass die Berichte nicht von Menschen überprüft werden.
„Die Ergebnisse dieses freiwilligen Schwachstellen-Scanners werden vollständig von Modellen generiert, ohne menschliche Überprüfung oder Triage“, erklärte Anthropic. „Dies ermöglicht schnelleres und häufigeres Scannen, bedeutet aber, dass Berichte fehlerhaft oder ungültig sein können. Diese Berichte werden von unseren stärksten Modellen (einschließlich Claude Mythos) erstellt, um Open-Source-Projekten den größtmöglichen Verteidigungsvorteil zu bieten.“
Wie Anthropic erwähnt, ließ man sich vom Open-Source-Software-Scanner OSS-Fuzz inspirieren, der von Google und der OpenSSF (Open Source Security Foundation) entwickelt wurde und seit 2016 verfügbar ist. Anthropic bietet bereits ein kostenpflichtiges Produkt namens Claude Security an, das allgemeine Code-Scans und Patches durchführen kann, doch der OSS Scanner führt ähnliche Sicherheitsaudits kostenlos durch.
Google und Anthropic stellen diese Produkte nicht unbedingt aus Altruismus bereit. Beide Unternehmen sind stark auf Open-Source-Projekte angewiesen, die das Internet tragen und oft von unbezahlten Mitarbeitenden betrieben werden. Sicherheitslücken in solchem Code sind äußerst gefährlich, wie ein aktuelles Beispiel zeigt: der XZ Utils Backdoor, der Hackern die administrative Kontrolle über Millionen von Systemen weltweit hätte verschaffen können.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
'Projects that join will receive thorough, periodic security scans by our strongest models at no cost.'
Michael M. Santiago/Getty Images Add Engadget on Google: Preferred Source Google Discover Anthropic is offering open-source projects a new way to check for vulnerabilities with its OSS Scanner. "Projects that join will receive thorough, periodic security scans by our strongest models at no cost," the company announced.
As they've shown recently, AI models are excellent at finding (and exploiting) vulnerabilities. The new scanner could give open-source coders early alerts about potential security issues for free, albeit with the tradeoff that reports won't be reviewed by humans.
"The outputs of this opt-in vulnerability scanner will be fully model-generated, without human review or triage," Anthropic explained. "This will enable faster and more frequent scanning, but means that it is possible reports will be incorrect or invalid. These reports will be generated by our strongest models (including Claude Mythos) to give open-source projects the largest defensive advantage."
As Anthropic mentions, it was inspired by OSS-Fuzz open-source software scanner created by Google and the OpenSSF (Open Source Security Foundation) that has been available since 2016. Anthropic already has a paid product called Claude Security that can perform general-access code scanning and patching, but OSS Scanner performs similar security audits at no cost.
Google and Anthropic aren't necessarily providing these products out of altruism. Both companies rely heavily on open-source code projects that underpin the internet, often run by unpaid workers. Security vulnerabilities in such code are highly dangerous, with a recent example of that being the XZ Utils backdoor that could have handed hackers administrative control over millions of systems around the world.