„Anthropic“ nemokamai tikrins atvirojo kodo programas – DI ieškos pavojingų saugumo spragų

Sekite TechNaujienos Google

„Anthropic“ pradeda nemokamai tikrinti atvirojo kodo projektus savo pažangiausiais dirbtinio intelekto modeliais. Naujoji priemonė „OSS Scanner“ turėtų reguliariai ieškoti pažeidžiamumų, padėti juos įvertinti ir siūlyti pataisas. Bendrovė taip pat skiria atskirą programą elektros tinklų, vandens tiekimo, transporto ir kitų kritinių sistemų apsaugai.

Abi iniciatyvos pristatytos spalio 8 dieną paskelbtoje „Anthropic Cyber Mission“ programoje. Bendrovė pripažįsta esminę problemą: DI jau geba greitai rasti daug galimų klaidų, tačiau saugumo komandoms sunku atskirti tikrą pavojų nuo klaidingų signalų, nustatyti prioritetus ir saugiai įdiegti pataisas.

Kodėl atvirojo kodo spraga paliečia tūkstančius įmonių

Dauguma šiuolaikinių programų nėra parašytos nuo nulio. Jos remiasi bibliotekomis, karkasais ir kitais viešai prieinamais komponentais. Viena spraga populiariame pakete gali atsirasti tūkstančiuose interneto svetainių, mobiliųjų programėlių ir įmonių sistemų, nors jų savininkai apie priklausomybę net nežino.

Atvirojo kodo projektus dažnai prižiūri nedidelės komandos arba pavieniai savanoriai. Jie palaiko infrastruktūrą, nuo kurios priklauso didelės bendrovės, bet neturi nuolatinės saugumo laboratorijos. „Anthropic“ siūlomas modelis mėgina šią disproporciją sumažinti: periodiškai tikrinti kodą ir pateikti ne vien perspėjimą, bet ir galimos pataisos projektą.

Naujausi straipsniai

3 min. skaitymo • prieš 1 val

„Google“ pristatė universalų darbo DI agentą – savarankiškai planuos ir atliks sudėtingas užduotis

3 min. skaitymo • prieš 2 val

„OpenAI“ atskleidė „netikrų fasadų“ operacijas – DI naudotas įtakai ir kibernetinėms atakoms maskuoti

3 min. skaitymo • prieš 2 val

Ukraina skelbia sunaikinusi „Pancir-S1“ ir smogusi Rusijos dronų paleidimo bazei prie Donecko

Visi naujausi straipsniai →

DI čia turi realų pranašumą, nes gali analizuoti didelius kodo kiekius ir sekti duomenų kelią per daugybę failų. Vis dėlto automatiškai sugeneruota pataisa negali būti diegiama aklai. Ji gali pakeisti programos elgesį, sukurti kitą pažeidžiamumą arba neišspręsti viso atakos scenarijaus. Todėl galutinį sprendimą turi priimti projekto prižiūrėtojas, o pakeitimai – būti patikrinti testais ir žmogaus peržiūra.

Kritinės infrastruktūros negalima tiesiog perkrauti

Antroji programos dalis skirta operacinėms technologijoms – valdikliams ir tinklams, valdantiems fizinius procesus elektrinėse, vandenvietėse, gamyklose ar transporte. Tokia įranga neretai projektuota veikti dešimtmečius. Jos negalima bet kada išjungti, todėl žinoma spraga gali likti nepataisyta ilgiau nei įprastame serveryje.

Pagal Kritinės infrastruktūros gynybos programą „Anthropic“ ketina suteikti partneriams modelius, inžinierius ir grėsmių tyrimų duomenis. Tai nėra pažadas perduoti DI tiesioginę elektros tinklo kontrolę. Modeliai turėtų padėti specialistams analizuoti kodą, konfigūracijas ir galimus atakos kelius, o sprendimai liktų operatorių rankose.

Tokia kryptis svarbi ir Lietuvai, kur energetikos, transporto bei viešojo sektoriaus sistemos tampa vis labiau skaitmenizuotos. DI modeliams persikeliant į vis daugiau įrenginių, auga ne tik jų nauda, bet ir programinės tiekimo grandinės rizika.

„OSS Scanner“ sėkmę lems ne rastų įtarimų skaičius. Svarbiau, kiek aptiktų spragų bus patvirtintos, kiek pataisų priims projektų autoriai ir ar jos nesukels naujų problemų. Jei priemonė sumažins triukšmą, o ne jį padidins, ji gali suteikti mažoms atvirojo kodo komandoms saugumo pajėgumus, kuriuos iki šiol turėjo tik didžiausios technologijų bendrovės.