Firmy kryptograficzne zwracają się do Anthropic AI w celu znalezienia luk w zabezpieczeniach

Firmy kryptograficzne, w tym deweloper Ethereum Nethermind oraz portfel Bitcoin ZEUS, złożyły wnioski o dostęp do nowego skanera zabezpieczeń AI firmy Anthropic, który wykorzystuje Claude Mythos do identyfikacji luk w oprogramowaniu, zanim zostaną one wykorzystane przez atakujących.

• Deweloper Ethereum Nethermind i portfel Bitcoin ZEUS poprosili o dostęp do bezpłatnej usługi skanowania zabezpieczeń firmy Anthropic.
• Anthropic twierdzi, że jego skaner wykorzystuje Claude Mythos i wysyła zautomatyzowane raporty o lukach bez przeglądu przez ludzi.
• Nethermind poprosił o skanowanie repozytoriów, podczas gdy ZEUS poszukiwał kontroli obejmujących płatności, klucze prywatne i połączenia Lightning.
• Anthropic informuje o znalezieniu 29 000 potencjalnych luk, z czego tylko około 6 000 zostało dotychczas ręcznie sprawdzonych wewnętrznie.

Anthropic uruchomił bezpłatny OSS Scanner 8 października, umożliwiając kwalifikującym się projektom open-source otrzymywanie zautomatyzowanych raportów identyfikujących możliwe słabości w zabezpieczeniach. Wnioski złożone 9 października pokazują rosnące zainteresowanie wśród deweloperów kryptowalut w korzystaniu z zaawansowanych narzędzi AI do badania kodu obsługującego transakcje, klucze prywatne i infrastrukturę blockchain.

Program jest kontynuacją inicjatywy Project Glasswing firmy Anthropic, która umożliwiła wybranym organizacjom dostęp do potężnych modeli AI do badań nad cyberbezpieczeństwem. W przeciwieństwie do istniejącego procesu ujawniania, nowa usługa wysyła wyniki bez czekania na weryfikację przez ludzi.

Deweloperzy kryptowalut proszą o dostęp do skanów zabezpieczeń Claude Mythos

Deweloper klienta Ethereum Nethermind był jednym z pierwszych projektów blockchain, które starały się o zapis, składając wniosek o pull request #38 na GitHubie w piątek. Wniosek dotyczy skanowania zabezpieczeń w jego repozytorium, w którym deweloperzy utrzymują oprogramowanie używane do interakcji z siecią Ethereum.

Nethermind rozwija klienta wykonawczego Ethereum, oprogramowanie, które przetwarza transakcje blockchain i wspiera operacje sieciowe. Jego wniosek dałby zespołowi dostęp do raportów generowanych przez AI, identyfikujących potencjalne słabości w jego kodzie, pod warunkiem, że Anthropic zatwierdzi wniosek.

Portfel Bitcoin i Lightning ZEUS złożył osobny wniosek, poszukując kontroli nad swoją aplikacją mobilną oraz komponentami obsługującymi płatności, klucze prywatne i połączenia Lightning. Portfel samodzielny pozwala użytkownikom zarządzać Bitcoinem, zachowując kontrolę nad swoimi funduszami.

VirtEngine, zdecentralizowany rynek obliczeń w chmurze zbudowany przy użyciu Cosmos SDK, złożył wniosek o zapis poprzez inne zgłoszenie na GitHubie. Projekt rozwija infrastrukturę dla zdecentralizowanych usług obliczeniowych, co czyni jego oprogramowanie kolejnym potencjalnym kandydatem do skanera.

Wnioski pozostają prośbami o uczestnictwo, a nie potwierdzeniem, że projekty zakończyły audyty zabezpieczeń. Anthropic ocenia zgłoszenia indywidualnie, biorąc pod uwagę ich znaczenie dla infrastruktury, narażenie na zdalne ataki oraz to, ile innych systemów zależy od ich oprogramowania.

Inni wnioskodawcy to deweloperzy asystentów AI, narzędzi zabezpieczeń, infrastruktury uczenia maszynowego i systemów przechowywania w chmurze. Anthropic nie ogłosił stałego harmonogramu zatwierdzania projektów kryptograficznych ani dostarczania ich pierwszych raportów.

Anthropic twierdzi, że skaner AI znalazł tysiące luk w zabezpieczeniach

Anthropic opracował OSS Scanner po odkryciu, że jego modele AI mogą identyfikować potencjalne wady oprogramowania szybciej niż badacze mogą je ręcznie przeglądać.

W ciągu ostatnich sześciu miesięcy firma poinformowała, że jej modele zidentyfikowały ponad 29 000 potencjalnych luk w powszechnie używanych projektach open-source. Badacze ręcznie przejrzeli około 6 000 wyników, pozostawiając dużą liczbę oczekujących na ocenę.

W odpowiedzi Anthropic wprowadził zautomatyzowany system, który wysyła raporty bezpośrednio do uczestniczących utrzymujących. Firma powiedziała, że usługa wykorzysta swoje najsilniejsze modele, w tym Claude Mythos, do generowania wyników i sugerowanych poprawek.

"Te raporty będą generowane przez nasze najsilniejsze modele (w tym Claude Mythos)," stwierdził Anthropic w swoim ogłoszeniu.

W przeciwieństwie do konwencjonalnych audytów bezpieczeństwa, które wymagają ręcznego przeglądu przed ujawnieniem, OSS Scanner generuje raporty bez weryfikacji przez ludzi. Anthropic przyznał, że niektóre ustalenia mogą być niedokładne, w tym błędne oceny powagi lub luki, które nie mają zastosowania do projektu.

Podczas wczesnych testów zewnętrzni testerzy penetracyjni zbadali 97 ustaleń o wysokiej i krytycznej powadze w 48 projektach. Anthropic poinformował, że 85 ustaleń, czyli około 88%, spełniało jego standardy dotyczące skoordynowanego ujawniania luk w zabezpieczeniach.

Wśród pozostałych 12 ustaleń, 11 było rzeczywistymi problemami, które powielały istniejące raporty lub znane luki. Jedno było nieprawidłowe.

Firma stwierdziła, że jej skaner dostarcza powtarzalne przykłady zidentyfikowanych słabości, wyjaśnienia dotyczące dotkniętego kodu oraz sugerowane poprawki, gdy są dostępne. Uczestniczący programiści kryptowalut muszą samodzielnie przeglądać te ustalenia, zanim zdecydują, czy zmiany są konieczne.

Anthropic będzie kontynuować istniejący proces ujawniania luk w zabezpieczeniach z weryfikacją przez ludzi dla projektów, które nie są w stanie obsłużyć dużej ilości automatycznych raportów.

Uruchomienie następuje po kilku incydentach bezpieczeństwa, w których firmy blockchain zgłaszały ataki z wykorzystaniem narzędzi automatycznych lub podejrzewanej pomocy AI.

W sierpniu dostawca wymiany Bitcoin, Boltz, zawiesił działalność po miesiącach ataków wspomaganych przez AI. Firma stwierdziła, że napastnicy identyfikowali słabości szybciej, niż jej programiści mogli je zbadać i naprawić.

Boltz wstrzymał swoje usługi wymiany 3 sierpnia po zgłoszeniu kilku zawężonych exploitów. Zespół stwierdził, że jego projekt samodzielnego przechowywania zapobiegł narażeniu funduszy klientów, chociaż firma poniosła straty operacyjne.

Przerwa wpłynęła na usługi, które polegały na infrastrukturze Boltz, w tym ZEUS. Portfel tymczasowo wyłączył funkcjonalność wymiany po zamknięciu, podczas gdy osobny incydent związany z cyberbezpieczeństwem ZEUS skłonił zespół do wyłączenia części infrastruktury do przeglądu.

Inicjatywa bezpieczeństwa Bitcoin Red Team zgłosiła zidentyfikowanie 4 962 potencjalnych luk w zabezpieczeniach w 390 projektach związanych z Bitcoinem podczas około 30 godzin przeglądów kodu wspomaganych przez AI w sierpniu.

Przegląd bezpieczeństwa Bitcoin sklasyfikował 720 ustaleń jako wysokie lub krytyczne pod względem powagi, chociaż zgłoszone problemy wymagały weryfikacji przed uznaniem ich za potwierdzone luki.

Wcześniejszy program Project Glasswing firmy Anthropic przyciągnął uznanych uczestników branży. W sierpniu firma macierzysta Kraken, Payward, dołączyła do programu bezpieczeństwa Claude Mythos, aby zbadać swoje systemy pod kątem słabości oprogramowania.

Firma stwierdziła, że zamierza skanować swoje środowiska i dzielić się zweryfikowanymi ustaleniami dotyczącymi projektów open-source z ich opiekunami.

OSS Scanner jest częścią misji cybernetycznej Anthropic, ogłoszonej 8 października, aby wspierać bezpieczeństwo oprogramowania i ochronę krytycznej infrastruktury.

Obok usługi skanowania, Anthropic wprowadził Program Ochrony Krytycznej Infrastruktury, który zapewnia modele AI, wsparcie inżynieryjne i badania zagrożeń dla organizacji chroniących sieci energetyczne, sieci transportowe i systemy przemysłowe.

Inicjatywa obejmuje partnerstwa z CrowdStrike, Accenture, Deloitte, Palo Alto Networks i kilkoma innymi firmami zajmującymi się cyberbezpieczeństwem i technologią.

Dla programistów open-source, Anthropic oferuje regularne skany bezpieczeństwa bez opłat dla zatwierdzonych projektów. Opiekunowie mogą aplikować przez repozytorium GitHub OSS Scanner, korzystając z opublikowanego szablonu rejestracji.

Decyzje o kwalifikowalności będą uwzględniać, czy projekt ma "krytyczny wpływ na infrastrukturę i bezpieczeństwo użytkowników", a także zdolność zespołu do przeglądania i rozwiązywania zgłoszonych luk.

Anthropic nie ogłosił, ile projektów kryptowalutowych ostatecznie zaakceptuje. Zatwierdzeni opiekunowie otrzymają raporty generowane przez modele za pośrednictwem usługi, podczas gdy firma nadal oferuje ujawnienia z weryfikacją przez ludzi w ramach swojego istniejącego procesu bezpieczeństwa.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.