La empresa de inteligencia de vulnerabilidades VulnCheck publicó recientemente su tercer seguimiento del programa de seguridad de Anthropic, Proyecto Glasswing.analizar. Según cifras del propio libro público de Anthropic al 2 de noviembre, Glasswing informó un total de 37.966 descubrimientos en los siete meses desde su lanzamiento. Sólo 7.349, o alrededor del 19,4%, se hicieron públicos y sólo 217 se marcaron como fijos.
Cuando Anthropic lanzó Glasswing el 7 de abril, dijo que había encontrado "miles de vulnerabilidades de alto riesgo y gravedad" y las estaba exponiendo responsablemente a los mantenedores de proyectos de código abierto. Patrick Garrity, miembro de VulnCheck, quien escribió el artículo, comenzó a construir una base de datos de código abierto a mediados de abril para rastrear vulnerabilidades que pueden atribuirse a Anthropic.
En dos meses se hicieron casi 12.000 nuevos descubrimientos y sólo se arreglaron 15 más.
VulnCheck compara los libros de contabilidad del 8 de septiembre al 2 de noviembre: el total de descubrimientos aumentó de 26.153 a 37.966, es decir, 11.813 más; los fijos aumentaron de 202 a 217, que son sólo 15 más; Los retirados aumentaron de 245 a 419, y los marcados como duplicados aumentaron de 2 a 1.670. Durante el mismo período, el libro mayor indicó que la tasa positiva real aumentó del 91,4% al 94,2%.
Garrity cree que si bien hay más duplicaciones y retracciones que correcciones, la tasa de verdaderos positivos sigue aumentando, lo que indica que es posible que los resultados no se reflejen en la forma en que se clasifica el libro mayor. También rastreó 442 números de vulnerabilidad CVE que pueden atribuirse a Anthropic, lo que representa aproximadamente el 0,5% de los 93.450 CVE de este año, de los cuales sólo 2 figuran como realmente explotados.
Se consideró que más de la mitad de los informes recibidos por curl no eran vulnerabilidades.
VulnCheck también citó la herramienta de descarga de código abierto curl. El mantenedor de Curl, Daniel Stenberg, dijo recientemente que el proyecto recibió un lote de 45 informes de vulnerabilidad de Anthropic, y Anthropic autoevaluó que uno de ellos era de riesgo medio y el resto de riesgo bajo. De los 34 divulgados al momento del análisis, se consideró que 19 no eran vulnerabilidades, se confirmó que 6 eran de bajo riesgo y 9 aún están bajo evaluación.
Garrity concluyó que la IA es de hecho una herramienta útil para encontrar vulnerabilidades, pero la cifra de siete meses no coincide con lo que Glasswing dijo cuando se lanzó, y el trabajo de verificación también se pasa a los mantenedores del código abierto.
Anthropic ha reconocido previamente que la verificación humana es un cuello de botella
Cuando Anthropic lanzó la herramienta de escaneo de autoservicio OSS Scanner del proyecto de código abierto el 8 de octubre,Artículo oficialAfirmó que en ese momento se habían identificado más de 29.000 vulnerabilidades sospechosas, pero sólo unas 6.000 habían sido revisadas manualmente, admitiendo que estaba limitada por "capacidades de verificación humana"; También había enviado casi 5.000 informes no verificados en lotes a petición de algunos mantenedores.
Anthropic también afirmó que los informes de OSS Scanner son "enteramente generados por modelos y no han sido revisados ni clasificados manualmente". Pueden contener errores o contenido no válido y quedan a discreción de los mantenedores del proyecto. Chain News informó anteriormente sobre este plan, ver Anthropic utiliza el modelo más potente para escanear vulnerabilidades en proyectos de código abierto de forma gratuita. Al cierre de esta edición, Anthropic no ha respondido públicamente al análisis de VulnCheck.
Este artículo El proyecto de vulnerabilidad antrópica descubrió 38.000 vulnerabilidades en siete meses, solo 217 fueron solucionadas apareció por primera vez en Cadena de noticias ABMedia。
