Anthropic heeft een gratis, AI-gestuurde kwetsbaarheidsscanner gelanceerd voor opensourceprojecten. De dienst heet OSS Scanner en werkt opt-in: maintainers melden hun project aan en krijgen daarna periodiek een grondige beveiligingsscan door de krachtigste modellen van het bedrijf, waaronder Claude Mythos.
Volgens Anthropic is OSS Scanner “an opt-in service informed by our experience using Claude to find vulnerabilities during Project Glasswing”, het eigen cyberbeveiligingsprogramma waarmee het bedrijf AI eerder al inzette om bugs in software op te sporen. Het verschil met traditionele scanners is dat de output volledig door het model wordt gegenereerd, zonder menselijke beoordeling of triage vooraf. Dat maakt snellere en frequentere scans mogelijk.
Aanmelden gaat via een pull request op de GitHub-repository anthropics/oss-scanner, met een YAML-bestand dat een link naar de repository, een contact-e-mailadres en een Dockerfile voor de buildomgeving bevat. Optioneel kunnen maintainers een GPG-sleutel voor versleutelde rapporten of een apart threat-modelbestand toevoegen. Bij publicatie van het oorspronkelijke bericht waren er al 116 pull requests binnengekomen.
Voor gevonden kwetsbaarheden geldt niet de gangbare disclosure-termijn van 90 dagen, omdat Anthropic rekening houdt met false positives. Pas als een melding later handmatig is gevalideerd via het bestaande CVD-programma, begint een termijn van 90 dagen te lopen. Anthropic overweegt in de toekomst wel een vaste termijn voor ernstige kwetsbaarheden, naarmate het vertrouwen in de scanner groeit. Tot nu toe vond de scanner meer dan 29.000 kandidaat-kwetsbaarheden in belangrijke softwareprojecten, waarvan ruim 6.000 aan maintainers zijn gerapporteerd. Dat leidde tot 584 advisories.
Tegelijk kondigde Anthropic het Critical Infrastructure Defense Program aan, gericht op de beveiliging van kritieke infrastructuur en opensourcesoftware. Het bedrijf verwacht dat AI binnen twee jaar vooral verdedigers helpt: snellere opsporing van bugs vóór een release, veiliger geschreven code vanaf nul en actieve verdediging van systemen door modellen zelf.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt jouw bedrijf opensourcesoftware, dan is dit relevant: als een onderliggend project meedoet aan OSS Scanner, kunnen kwetsbaarheden daarin sneller aan het licht komen. Check bij kritieke afhankelijkheden of de maintainers zich hebben aangemeld, en volg hun advisories.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.