Anthropic lanserar säkerhetsinitiativ för kritisk infrastruktur och öppen källkod

white security camera — Alex Knight / Unsplash

Det amerikanska företaget Anthropic tillkännagav den åttonde oktober ett långsiktigt engagemang kallat Anthropic Cyber Mission som syftar till att skydda system som samhället är beroende av. Initiativet kommer att tillhandahålla verktyg, forskningsresultat och finansiering till försvarssidan och inleder sin verksamhet inom två specifika områden: kritisk infrastruktur och programvara med öppen källkod. Samtidigt med lanseringen presenterade företaget två nya program, nämligen Critical Infrastructure Defense Program för skydd av vitala samhällsfunktioner och en gratis tjänst för sårbarhetsskanning av öppen källkod.

Programmet för kritisk infrastruktur riktar sig till säkerhetsföretag som arbetar med att skydda kontrollsystem och industriella nätverk inom sektorer som elnät, vattenförsörjning och transportsystem. Dessa operatörer kommer att få tillgång till företagets mest avancerade modeller, ingenjörer som skickas ut på plats samt resurser för hotforskning. Elva organisationer har utsetts till grundande partners i detta samarbete, inklusive Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC och Rockwell Automation. Planen är att inleda arbetet med ett begränsat antal operatörer för att därefter under de kommande månaderna utöka både antalet partner och de täckta områdena.

Tjänsten för öppen källkod erbjuder regelbundna säkerhetsskanningar utan kostnad för projekt som ansöker om deltagande. Skanningarna utförs med företagets mest prestandakraftiga modeller och genererar rapporter som innehåller instruktioner för att reproducera problemen, beskrivningar av sårbarheterna och förslag på korrigeringar när så är möjligt. Eftersom resultaten från modellerna levereras direkt utan mänsklig granskning levereras rapporterna snabbt, men företaget varnar för att det kan förekomma felaktigheter i bedömningen av allvarlighetsgrad. Företaget uppskattar att andelen korrekta positiva fynd överstiger nittio procent. Vid tester av den första versionen hittades endast ett falskt larm bland nittiosju sårbarheter som klassificerats som kritiska eller höga.

Bakgrunden till lanseringen av skanningstjänsten är erfarenheter från ett tidigare projekt där företaget under sex månader skannade öppen källkod och identifierade mer än tjugoniotusen potentiella sårbarheter. Av dessa kunde endast cirka sextusen verifieras manuellt på grund av begränsade personella resurser. Vissa underhållsansvariga har uttryckt en önskan om att ta emot alla fynd även de som inte har verifierats, vilket ligger till grund för den nya automatiserade tjänsten. Målgruppen är projekt som har stor betydelse för infrastruktur eller användarsäkerhet, där huvudansvariga underhållare kan ansöka genom att skicka en förfrågan om kodändring till företagets arkiv. För projekt som saknar kapacitet att hantera stora volymer av rapporter kommer företaget att fortsätta med manuell verifiering innan informationen delges.