Anthropic báo cáo Claude phát hiện 493 vấn đề khi thu hẹp bề mặt tấn công của mã nguồn mở
Anthropic cho biết họ đã dùng Claude để phân tích và thu hẹp bề mặt tấn công của các cơ sở mã nguồn mở lớn, tập trung vào những đoạn mã bị để lộ cho kẻ tấn công dù không thực sự cần thiết. Trên 25 dự án viết bằng C, C++, Java, PHP và Python, với tổng cộng hơn năm triệu dòng mã, Claude đã lập danh mục hơn 17.000 tùy chọn cấu hình và phát hiện 493 vấn đề bảo mật tiềm ẩn. Phân tích này tập trung vào ba dạng rủi ro: tính năng được bật trong cấu hình mặc định dù không được sử dụng, các tổ hợp tùy chọn cấu hình gây ra tác động nguy hiểm, và mã nhạy cảm về bảo mật có thể chạy trước bước xác thực hoặc các kiểm tra trạng thái giao thức khác. Trong 11 dự án được thiết kế cho người dùng đã xác thực, Claude phát hiện 93 bề mặt truy cập trước xác thực không cần thiết, 37 vị trí mã chạy hoặc ghi lại trạng thái trước xác thực, cùng 61 tổ hợp cấu hình có thể âm thầm làm suy yếu cơ chế bảo vệ. Cách tiếp cận này không loại bỏ lỗ hổng, nhưng khiến các lỗi chưa biết khó bị tiếp cận hơn bằng cách đưa mã vào sau lớp xác thực, yêu cầu người dùng chủ động bật tính năng hoặc chỉ cho phép chạy ở giai đoạn sâu hơn của giao thức. Trên thực tế, đây là một cách giúp đội ngũ phát triển tăng cường bảo mật cho toàn bộ cơ sở mã thay vì chỉ sửa những lỗ hổng đã được phát hiện.
Lập trình viên và đội ngũ bảo mật có thể xem đây là hướng tiếp cận để dùng Claude rà soát các tính năng và cấu hình đang bị phơi ra trước khi cần thiết, rồi yêu cầu xác thực hoặc bật thủ công. Công cụ này không thay thế việc sửa lỗ hổng, nhưng có thể giúp giảm mức độ ảnh hưởng của các lỗi chưa được phát hiện.
Đọc bài gốc