Специалисты компании Anthropic применили языковую модель Claude для масштабного аудита безопасности 25 популярных open-source проектов, написанных на C, C++, Java, PHP и Python. Вместо традиционного поиска точечных ошибок исследователи сосредоточились на системном сокращении поверхности атаки — устранении лишнего доступа к программному коду до прохождения авторизации.
В Anthropic назвали поиск единичных багов неэффективным «сизифовым трудом», поскольку злоумышленники с помощью современных ИИ-инструментов всё равно находят скрытые лазейки. Сокращение объёма исполняемого кода автоматически защищает систему сразу от всех неизвестных угроз в затронутых компонентах.
Миллионы строк и критические конфликты настроек
В ходе исследования искусственный интеллект обработал более 5 млн строк кода и составил реестр из 17 000 параметров конфигурации, из которых 3842 прямо влияли на безопасность. Анализ строился вокруг трех основных сценариев: работа ненужных функций по умолчанию, конфликтующие параметры и выполнение сложных участков логики до проверки прав пользователя.
Результаты оказались показательными:
- Во всех 11 проектах, рассчитанных на работу только с авторизованными клиентами, обнаружился лишний доступ к коду.
- Выявлено 93 открытых поверхности атаки в базовых конфигурациях и 37 случаев прямого исполнения кода до авторизации.
- Зафиксировано 162 недокументированных сочетания параметров. В одном из проектов из-за конфликта настроек проверка цифровых сертификатов полностью отключалась вместо временной отсрочки — эта брешь оставалась незамеченной в коде 21 год.
Небезопасные конфигурации затрагивают самые разные экосистемы, включая веб-сервисы, где регулярно находят критические уязвимости в PHP и других серверных стеках.
Пример OpenSSH: отсечение 20% кода
Наглядным примером работы нового подхода стал аудит OpenSSH — ключевого инструмента для безопасного удаленного администрирования серверов. ИИ выяснил, что серверный демон OpenSSH открывал доступ неавторизованным клиентам к 4500 строк экспериментального кода с реализацией постквантовой подписи. При этом сам алгоритм в настройках сервера по умолчанию был отключен.
После уведомления от исследователей разработчики OpenSSH выпустили обновление под номером 10.6. В этой версии изолировали неиспользуемые модули, сделав недоступными для потенциальных злоумышленников около 20% предварительного кода.
Наработки исследования инженеры упаковали в готовый инструмент. В скором времени этот навык получит бесплатный сканер уязвимостей для open-source от Anthropic (OSS-Scanner), что позволит сторонним разработчикам автоматически выявлять конфликты в настройках и проверять стабильность работы ПО.
Что это значит для вас
Рядовым пользователям и системным администраторам в России не нужно предпринимать экстренных мер или вручную менять сложные параметры, однако важно вовремя обновлять системный софт. Уязвимости в таких сетевых службах, как OpenSSH, несут прямую угрозу серверам, сетевым накопителям и роутерам под управлением Linux. Проверьте версии установленных пакетов на рабочих машинах и домашних серверах: если в дистрибутиве доступна версия OpenSSH 10.6 или более свежие патчи безопасности, обновите их в штатном порядке. Разработчикам же стоит пересмотреть дефолтные конфигурации своих проектов и отключить исполнение вспомогательных функций до аутентификации пользователя.
