Anthropic lanserer Cyber Mission med gratis OSS-scanning

A group of electronic devices sitting on top of a table — Jakub Żerdzicki / Unsplash

Anthropic har 8. oktober lansert et langvarig initiativ kalt Anthropic Cyber Mission, som har til formål at beskytte systemer samfunnet er avhengig av. Initiativet starter med to fokusområder: kritisk infrastruktur og open source-software. Samme dag annoncerte selskapet to nye programmer: Critical Infrastructure Defense Program for driftsteknologi og OSS Scanner, en gratis sårbarhets-scanningstjeneste for open source-prosjekter.

Critical Infrastructure Defense Program, også kjent som CIDP, tilbyder sikkerhetsoperatører verktøy basert på Claudes frontmodeller, ansatte som skal installeres lokalt, samt trusselforskning fra selskapet. Programmet har 11 etablerte partnere, blant andre Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC og Rockwell Automation. Selskapet planlegger å starte med et begrenset antall partnere og utvide både partnere og omfang over de kommende månedene.

OSS Scanner er en tjeneste hvor åpne source-prosjekter som melder seg kan få gjennomført regelmessige sikkerhetsscanninger med selskapets mest potente model, Claude Mythos, uten kostnad. Tjenesten er inspirert av Googles OSS-Fuzz. Resultatrapporten gir gjenopprettingsinstruksjoner og beskrivelser av funnet sårbarhet, og i mulig omfang også forslag til rettelser. Selv om output leveres raskt siden ingen menneskelig verifisering skjer før utsending, påpeker selskapet at alvorlighetsvurderinger kan inneholde feil. Selskapet forventer en positiv rate over 90 prosent. I validering av den første versjonen ble av de 97 sårbarheter med alvorlighetsnivå Critical eller High, kun én feilpositiv funnet.

Ifølge Anthropic oppdaget man i de siste seks månedene gjennom scanning av open source-software over 29 000 sårbarhetskandidater, men manuell sjekk hadde kun verifisert rundt 6 000 av disse. Manglende mulighet for å motta ubeprøvde funn fra noen oppretholdere var en årsak til at OSS Scanner ble lansert. Tjenesten retter seg mot prosjekter med stor sikkerhetsimpact for infrastruktur eller brukere, hvor opprettelse skjer ved at core-maintainere sender en pull-request på GitHub. Prosjekter som ikke har ressurser til å håndtere store mengder rapporter, vil fortsatt få sjekke funn manuelt før de rapporteres.

Anthropic lanserer også tjenesten som en del av Project Glasswing.