Das Vulnerability-Intelligence-Unternehmen VulnCheck hat kürzlich sein drittes Tracking des Sicherheitsprogramms von Anthropic, Project Glasswing, veröffentlicht.analysieren. Laut Zahlen aus Anthropics eigenem öffentlichen Register vom 2. November meldete Glasswing in den sieben Monaten seit seiner Einführung insgesamt 37.966 Entdeckungen. Nur 7.349 oder etwa 19,4 % wurden veröffentlicht und nur 217 wurden als behoben markiert.

Als Anthropic am 7. April Glasswing startete, hieß es, man habe „Tausende von Sicherheitslücken mit hohem Risiko und Schweregrad“ gefunden und stelle diese verantwortungsbewusst den Betreuern von Open-Source-Projekten zur Verfügung. VulnCheck-Mitglied Patrick Garrity, der den Artikel geschrieben hat, begann Mitte April mit dem Aufbau einer Open-Source-Datenbank, um Schwachstellen zu verfolgen, die Anthropic zugeschrieben werden können.

In zwei Monaten wurden fast 12.000 neue Entdeckungen gemacht und nur 15 weitere behoben.

VulnCheck vergleicht die Hauptbücher vom 8. September bis 2. November: Die Gesamtzahl der Entdeckungen stieg von 26.153 auf 37.966, das sind 11.813 mehr; fest von 202 auf 217 erhöht, also nur 15 mehr; Die zurückgezogenen Exemplare stiegen von 245 auf 419, und die als Duplikate markierten Exemplare stiegen von 2 auf 1.670. Im gleichen Zeitraum verzeichnete das Hauptbuch einen Anstieg der echten positiven Rate von 91,4 % auf 94,2 %.

Garrity ist davon überzeugt, dass es zwar mehr Duplikate und Rückzüge als Korrekturen gibt, die tatsächliche positive Rate jedoch immer noch steigt, was darauf hindeutet, dass sich die Ergebnisse möglicherweise nicht in der Klassifizierung des Hauptbuchs widerspiegeln. Er verfolgte außerdem 442 CVE-Schwachstellennummern, die Anthropic zugeschrieben werden können, was etwa 0,5 % aller 93.450 CVEs in diesem Jahr ausmacht, von denen nur 2 als tatsächlich ausgenutzt aufgeführt sind.

Bei mehr als der Hälfte der bei Curl eingegangenen Meldungen handelte es sich nicht um Schwachstellen

VulnCheck zitierte auch das Open-Source-Download-Tool Curl. Curl-Betreuer Daniel Stenberg sagte kürzlich, dass das Projekt eine Reihe von 45 Schwachstellenberichten von Anthropic erhalten habe und Anthropic selbst eingeschätzt habe, dass einer davon ein mittleres Risiko und der Rest ein geringes Risiko darstelle. Von den 34 zum Zeitpunkt der Analyse offengelegten Sicherheitslücken wurden 19 als keine Schwachstellen eingestuft, 6 wurden als risikoarm bestätigt und 9 werden noch evaluiert.

Garrity kam zu dem Schluss, dass KI tatsächlich ein nützliches Werkzeug zum Auffinden von Schwachstellen ist, die Sieben-Monats-Zahl stimmt jedoch nicht mit den Angaben von Glasswing bei seiner Einführung überein, und die Überprüfungsarbeit wird auch an die Open-Source-Betreuer weitergegeben.

Anthropic hat zuvor eingeräumt, dass die menschliche Verifizierung einen Engpass darstellt

Als Anthropic am 8. Oktober das Self-Service-Scanning-Tool OSS Scanner für das Open-Source-Projekt startete,Offizieller ArtikelEs hieß, dass zu diesem Zeitpunkt mehr als 29.000 mutmaßliche Schwachstellen identifiziert worden seien, aber nur etwa 6.000 manuell überprüft worden seien, wobei zugegeben wurde, dass dies durch „menschliche Verifizierungsfähigkeiten“ eingeschränkt sei; Außerdem wurden auf Wunsch einiger Betreuer fast 5.000 unbestätigte Berichte stapelweise verschickt.

Anthropic gab außerdem an, dass die Berichte von OSS Scanner „vollständig von Modellen generiert und nicht manuell überprüft oder klassifiziert wurden“. Sie können Fehler oder ungültige Inhalte enthalten und liegen im Ermessen der Projektbetreuer. Chain News berichtete zuvor über diesen Plan, siehe Anthropic verwendet das stärkste Modell, um kostenlos Schwachstellen in Open-Source-Projekten zu scannen. Zum Zeitpunkt der Drucklegung hat Anthropic nicht öffentlich auf die Analyse von VulnCheck reagiert.

dieser Artikel Das Anthropic Vulnerability Project hat in sieben Monaten 38.000 Schwachstellen entdeckt, nur 217 wurden behoben erschien erstmals in Kettennachrichten ABMedia。