Claude нашел уязвимость возрастом 21 год среди почти 500 дыр в открытом ПО

Специалисты Anthropic решили отойти от традиционного поиска уязвимостей, который в компании назвали «сизифовым трудом» из-за плохой масштабируемости и отсутствия гарантий. Вместо этого они сосредоточились на сокращении поверхности атаки и ограничении неоправданного доступа к коду, который могли бы использовать злоумышленники. Под прицел попали 25 проектов с открытым исходным кодом на языках C, C++, Java, PHP и Python, в которых в сумме насчитывается более 5 миллионов строк.

Claude проанализировал свыше 17 000 параметров конфигурации и выделил из них 3842, напрямую влияющих на безопасность. Исследователи изучали три сценария неоправданного доступа: функции, включенные по умолчанию без реальной необходимости, сочетания настроек, которые в комбинации ослабляют защиту, и чересчур сложные критически важные фрагменты, выполняемые до проверок безопасности. Результаты оказались тревожными.

Во всех 11 проектах, предполагающих авторизацию, нашелся код, доступный до входа в систему. Claude выявил 93 поверхности атаки, открытых до аутентификации в стандартных конфигурациях, 37 случаев выполнения кода до проверки личности и 61 комбинацию параметров, сводившую на нет преднастроенные механизмы защиты. Отдельного внимания заслуживают конфликты настроек.

Во всех 25 проверенных проектах обнаружились 162 комбинации, поведение которых не было описано в документации. Иногда это приводило к простым ошибкам, но в ряде ситуаций — к полному отключению средств безопасности. Один из таких дефектов прятался в коде более 21 года.

Одна настройка требовала от пользователей подтверждения личности сертификатами, а другая полностью отключала эту проверку, вместо того чтобы просто временно ее отсрочить. В качестве наглядного примера исследователи привели OpenSSH. Демон программы для безопасного удаленного доступа мог обрабатывать 4500 строк экспериментального кода, связанного с постквантовым алгоритмом цифровой подписи, еще до того, как сервер проверял разрешена ли такая операция.

Сам алгоритм был выключен по умолчанию, но код для работы с его данными оставался доступен любому неавторизованному клиенту. После сигнала от Anthropic разработчики OpenSSH закрыли уязвимость в версии 10.6. В результате около 20% кода стало недоступно для неавторизованных пользователей.

Сформированные в ходе исследования методы антропоморфной инженерии легли в основу специализированного инструмента для Claude. Вскоре его интегрируют в бесплатный сервис проверки безопасности открытого кода OSS-Scanner. Инструмент научился анализировать конфигурации по умолчанию, доступные фрагменты кода и противоречащие друг другу настройки.

Механизм работы обещает быть тонким. Система будет проверять найденные уязвимости через динамическое отслеживание выполнения программы и сопоставлять их с реальным поведением системы. Разработчиков обещают предупреждать только о тех изменениях, которые действительно способны нарушить работу ПО.