Claude individua 500 vulnerabilità nei progetti open source: cambiamento necessario nella difesa
Anthropic punta sulla riduzione delle superfici d’attacco anziché la sola ricerca di vulnerabilità nei software open source.
Il recente report di Anthropic ha mostrato come il modello AI Claude abbia analizzato 25 importanti progetti open source, individuando quasi 500 problemi di sicurezza nei codici C, Java e Python. L'analisi ha evidenziato criticità come controlli di sicurezza disattivati da conflitti tra impostazioni, codice sensibile accessibile prima dell'autenticazione e vulnerabilità rimaste inosservate per oltre vent'anni.
Secondo Anthropic, la ricerca delle singole vulnerability è un'operazione poco efficiente e incapace di garantire una reale protezione. L’approccio suggerito è invece limitare la superficie di attacco restringendo l'accesso non necessario a parti del codice potenzialmente esposte.
Nei progetti analizzati, tutte le soluzioni progettate per utenti autenticati presentavano percorsi di codice facilmente raggiungibili anche senza verifica: 93 superfici di attacco pre-autenticazione in configurazioni di default, 37 esecuzioni di codice prima dei controlli di sicurezza e 61 combinazioni di impostazioni che compromettevano i controlli stessi.
Sistemi centrali come OpenSSH hanno mostrato codice sperimentale accessibile da client non autenticati. Dopo la segnalazione, una nuova release ha corretto oltre il 20% di queste esposizioni.
Anthropic ha inglobato queste metodologie nella skill di Claude, che verrà integrata in OSS-Scanner per una sicurezza automatizzata dei software open source.
