TL;DR: Das Wichtigste
- Sprachmodelle erreichen auf dem CyberGym-Teststand mittlerweile eine Erkennungsrate von über 85 %, gegenüber weniger als 20 % zu Beginn des Vorjahres, was die Qualität der übermittelten Meldungen deutlich verbessert.
- Die Ingenieure haben innerhalb von sechs Monaten mehr als 29.000 potenzielle Schwachstellen identifiziert, doch durch die manuelle Überprüfung konnten nur etwa 6.000 Fälle bearbeitet werden, was zu einem Engpass führte, der die direkte Automatisierung der Meldungen ohne vorherige Überprüfung rechtfertigt.
- Die Projektverantwortlichen haben bereits fast 5.000 Rohberichte mit vorgeschlagenen Korrekturen angefordert und erhalten; sie ziehen es vor, noch nicht validierte Ergebnisse zu bearbeiten, anstatt Schwachstellen schnellen Angriffen auszusetzen.
- Das Programm arbeitet zudem mit Spezialisten wie CrowdStrike oder Palo Alto Networks zusammen, um diese Analysen auf kritische Infrastrukturen und US-amerikanische Behörden auszuweiten, die mit einem gravierenden Mangel an technischen Ressourcen konfrontiert sind.
Anthropic stellt Open-Source-Projekten sein Tool „OSS Scanner“ zur Verfügung, einen kostenlosen, auf künstlicher Intelligenz basierenden Audit-Dienst, mit dem Sicherheitslücken identifiziert und behoben werden können, bevor sie böswillig ausgenutzt werden. Diese Initiative knüpft an die Erkenntnisse aus dem Projekt „Glasswing“ an, in dessen Rahmen die Claude-Modelle zur Aufspürung von Software-Schwachstellen eingesetzt wurden. Indem das Technologielabor diesen Dienst den Projektbetreuern weltweit kostenlos zur Verfügung stellt, zielt es laut The Hacker News darauf ab, gemeinsam genutzte Code-Bausteine zu sichern, auf denen alle modernen Informationssysteme basieren.
Die Claude-Modelle revolutionieren die Erkennung von Softwarefehlern
Die jüngsten Fortschritte bei den Grundmodellen haben die Effizienz automatisierter Prüfungen in Code-Repositories verändert. Auf der akademischen Testplattform CyberGym stieg die Erkennungsrate der maschinellen Lernsysteme innerhalb eines Jahres von unter 20 % auf über 85 % der identifizierten Schwachstellen. Dieser Fortschritt ermöglicht es Entwicklern, verwertbare technische Analysen und Vorschläge für Korrekturen zu erhalten – weit entfernt von den ungenauen Meldungen, die von den ersten Versionen digitaler Assistenten generiert wurden.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Der Dienst basiert auf freiwilliger Teilnahme und orientiert sich am OSS-Fuzz-Projekt von Google, das die Robustheit von Programmen durch zufällige Dateneinspeisung kontinuierlich testet. In einem von Anthropic veröffentlichten technischen Beitrag erklärt die Organisation, dass ihre leistungsstärksten Modelle, insbesondere Claude Mythos, regelmässig umfassende Analysen des Quellcodes durchführen, ohne dafür von den Community-Projekten eine finanzielle Vergütung zu verlangen.
Die enorme Anzahl an Sicherheitslücken erfordert eine ungefilterte Weitergabe
In den letzten sechs Monaten wurden bei Analysen kritischer Softwarekomponenten mehr als 29.000 potenzielle Sicherheitslücken aufgedeckt. Den Forschungsteams gelang es jedoch nur, etwa 6’000 dieser Fälle manuell zu sortieren und zu validieren, was zu einem erheblichen operativen Engpass führte. Angesichts dieses Engpasses reichte die herkömmliche koordinierte Offenlegung nicht mehr aus, um mit dem durch die algorithmische Analyse vorgegebenen Tempo Schritt zu halten.
Zahlreiche Betreuer freier Software haben daher direkten Zugriff auf alle Rohdaten gefordert und dabei das Risiko von Ungenauigkeiten oder Fehlalarmen in Kauf genommen, um die Absicherung ihrer Repositories zu beschleunigen. Anthropic hat daher bereits fast 5’000 ungeprüfte Meldungen zusammen mit Entwürfen für Korrekturen an die anfragenden Teams übermittelt. Die Einrichtung eines automatisierten Schnellverfahrens ist eine Antwort auf diese dringende Situation, da Angreifer mittlerweile Ausnutzungsmethoden in nur wenigen Minuten entwickeln.
Analyse
Die Initiative von Anthropic mit ihrem OSS Scanner stellt eine willkommene Lösung für das Open-Source-Ökosystem dar. Wenn man bedenkt, wie allgegenwärtig diese Entwicklungen in jeder Software sind, wird die Analogie zu den Subprime-Hypotheken deutlich: Dieser Ansatz trägt dazu bei, eine Krise aufgrund versteckter Sicherheitslücken im Kern unzähliger IT-Lösungen zu vermeiden.
Partnerschaften mit der Industrie sichern die Aufrechterhaltung lebenswichtiger Dienste
Dieser Ansatz zugunsten offener Software ist Teil eines umfassenderen Verteidigungskonzepts, das auf kritische Infrastrukturen ausgerichtet ist. Wie CyberScoop berichtet, verbindet das Programm Modelle der künstlichen Intelligenz mit spezialisierten Akteuren wie CrowdStrike, Palo Alto Networks und Deloitte. Ziel ist es, Betreiber von Energie- und Wasserversorgungsnetzen sowie mehr als die Hälfte der US-Bundesstaaten angesichts des strukturellen Mangels an Sicherheitsexperten zu unterstützen.
Langfristig möchten die Entwickler des Programms den Grossteil der Code-Sortierung und -Korrektur automatisieren und gleichzeitig neue Standards für die Softwarearchitektur etablieren. Diese Bereitstellung kostenloser Abwehrwerkzeuge ist eine Reaktion auf die von anderen Akteuren wie OpenAI geteilte Befürchtung, dass feindlich gesinnte Gruppen die Angriffsfähigkeiten der Modelle missbrauchen könnten, bevor legitime Organisationen deren Zugriff absichern.
Durch die kostenlose Bereinigung der offenen Bausteine, auf denen die globale Infrastruktur basiert, beseitigt der Einsatz des OSS Scanners strukturelle Schwachstellen, die mit toxischen Vermögenswerten vergleichbar sind, die in der digitalen Wirtschaft verborgen liegen. Diese Beschleunigung der Softwarekorrektur bietet Sicherheitsverantwortlichen den notwendigen Hebel, um der automatisierten Erstellung bösartiger Exploits einen Schritt voraus zu sein.
Häufig gestellte Fragen zu OSS Scanner und Open-Source-Sicherheit
Was ist der von Anthropic entwickelte Dienst „OSS Scanner“?
OSS Scanner ist ein kostenloser Sicherheitsprüfungsdienst für freie und Open-Source-Software. Er nutzt die Sprachmodelle der Claude-Reihe, um den Code regelmässig zu analysieren und potenzielle Schwachstellen zu identifizieren. Der Dienst liefert den Projektverantwortlichen technische Erläuterungen sowie Vorschläge für Korrekturen.
Warum werden Sicherheitslückenberichte ohne manuelle Überprüfung weitergeleitet?
Die automatisierte Analyse hat Zehntausende potenzieller Sicherheitslücken aufgedeckt, deren Umfang von den Teams bei Anthropic manuell unmöglich überprüft werden konnte. Um Verzögerungen gegenüber Angreifern zu vermeiden, die in der Lage sind, Exploits innerhalb weniger Minuten zu schreiben, erhalten freiwillige Entwickler die Rohdaten direkt. Diese Methode beschleunigt die Behebung der Schwachstellen, wobei jedoch mögliche Ungenauigkeiten in Kauf genommen werden.
Worin besteht der Unterschied zwischen OSS Scanner und Claude Security?
Claude Security ist eine kostenpflichtige Lösung, die für Unternehmen konzipiert wurde, die den Code ihrer internen Systeme überprüfen und korrigieren möchten. Im Gegensatz dazu ist OSS Scanner vollständig kostenlos und ausschliesslich für Open-Source-Community-Projekte auf freiwilliger Basis bestimmt. Er orientiert sich am Modell der kontinuierlichen Bewertung, das durch Programme wie OSS-Fuzz von Google ins Leben gerufen wurde.
Inwiefern trägt die Absicherung von Open-Source-Code zur Verringerung des systemischen Risikos bei?
Open-Source-Komponenten sind in nahezu allen Informationssystemen von Unternehmen und kritischen Infrastrukturen integriert. Eine unentdeckte Sicherheitslücke in einer gemeinsam genutzten Bibliothek gefährdet die gesamte Anwendungskette – ähnlich wie die durch „toxische Kredite“ verursachten diffusen finanziellen Risiken. Indem der Scanner diese Schwachstellen an der Wurzel beseitigt, schützt er alle davon abhängigen Dienste.
Hat Ihnen dieses Monitoring Zeit gespart?
Spendieren Sie einen Kaffee, um die Arbeit zu würdigen und DCOD kostenlos und unabhängig zu halten.
