Anthropic lancerer gratis sikkerhedsscanner til open source

Hvad er nyt

Anthropic, firmaet bag AI-assistenten Claude, har præsenteret to nye sikkerhedsinitiativer under overskriften Anthropic Cyber Mission. Det første hedder Critical Infrastructure Defense Program (CIDP). Det stiller Claudes stærkeste modeller, ingeniører på stedet og trusselsforskning til rådighed for dem, der beskytter strøm, vand, transport og offentlig infrastruktur. Programmet har 11 stiftende partnere, blandt andre Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Nozomi Networks, Palo Alto Networks, PwC og Rockwell Automation. Arbejdet er allerede i gang hos flere af dem.

Det andet er OSS Scanner, en gratis tjeneste til open source-projekter. Open source er software, hvis kode er åben for alle, og som bruges i næsten alt moderne it.

Hvad er smart

OSS Scanner kører med jævne mellemrum Anthropics stærkeste modeller over et projekts kode og leder efter sikkerhedshuller. Hver rapport indeholder et bevis på, at fejlen kan udnyttes, en forklaring og et forslag til rettelse. Rapporterne er skrevet af AI uden menneskelig gennemlæsning. Det gør dem hurtigere end den normale proces, men der kan være fejl. Anthropic venter, at over 90 procent af fundene er rigtige. I en test med eksterne eksperter levede 88 procent af 97 alvorlige fund op til Anthropics krav, og kun ét af de resterende 12 var en falsk alarm.

Projekter tilmelder sig selv. Kernevedligeholdere kan blive meldt ind via en skabelon i et GitHub-arkiv. Projekter, der ikke kan håndtere mange fund, får i stedet fund, som mennesker har kontrolleret.

Prisen holdes nede af en særlig fond, Defender Advantage Fund. Anthropic har også givet penge til blandt andre Python Software Foundation, OpenSSF og Apache Software Foundation.

Billigere eller bedre?

OSS Scanner er gratis for de projekter, der bliver optaget. Der skal dog være tale om projekter med stor betydning for infrastruktur og brugeres sikkerhed, og Anthropic vurderer fra sag til sag. Prisen på CIDP er ikke oplyst. Virksomheder, der bygger sikkerhedsprodukter til kritisk infrastruktur, kan blot melde interesse via en formular.

For sammenligning har Google længe haft OSS-Fuzz, som bruges som forbillede for kriterierne. Direkte tests mod konkurrenternes værktøjer er ikke oplyst. Anthropics tidligere arbejde med Project Glasswing og modellen Mythos Preview gennemgik over 1.000 open source-projekter og fandt anslået 6.202 alvorlige sårbarheder, ifølge Anthropic. Åbne spørgsmål er, om tilbuddet gælder i Danmark og EU. Det fremgår ikke af kilderne, men open source-projekter er internationale.

Det er den god til

OSS Scanner er god til vedligeholdere af udbredte open source-biblioteker, der ikke har råd til dyre sikkerhedsrevisioner. Fejl i sådanne programmer rammer til sidst også almindelige virksomheder og borgere.

CIDP er møntet på sikkerhedsfirmaer og leverandører, der beskytter kraftværker, vandforsyning og transport. For en almindelig bruger er pointen indirekte: Hvis hullerne bliver fundet og lappet hurtigere, bliver de tjenester, vi alle bruger, mere sikre. Maintainers kan også få gratis Max-abonnementer på Claude via Claude for Open Source.