Anthropic spustila Anthropic Cyber Mission, dlouhodobou iniciativu zaměřenou na zabezpečení kritické infrastruktury a open-source softwaru. Obráncům průmyslových systémů poskytuje modely Claude, inženýrskou podporu a výzkum hrozeb. Pro správce otevřeného kódu zároveň zavádí OSS Scanner, službu pro pravidelné hledání zranitelností, která k nálezům připojuje vysvětlení a případné návrhy oprav.
OSS Scanner dodá nález i ukázku zneužití
OSS Scanner funguje jako dobrovolná služba: pravidelné bezpečnostní skeny dostávají projekty, které se do ní přihlásí. Anthropic se při jejím návrhu inspirovala službou Google OSS-Fuzz a ke kontrolám využívá své nejvýkonnější modely. Pro přihlášené projekty jsou skeny zdarma.
Výstupem není jen upozornění na možnou chybu. Každá zpráva obsahuje vysvětlení problému a proof of concept, tedy ukázku toho, jak by bylo možné chybu zneužít. Pokud je k dispozici návrh opravy, služba jej připojí ke zprávě.
Nová služba navazuje na zkušenosti z Project Glasswing. Podle Anthropicu v něm firma skenovala stovky široce používaných open-source projektů, mnoho potenciálních zranitelností nechala posoudit lidmi a nálezy soukromě předávala správcům. Někteří správci schopní zpracovávat větší množství hlášení pak požádali i o nálezy, které lidskou kontrolou neprošly.
Automatické zprávy vyžadují kapacitu na zpracování
Zprávy OSS Scanneru vytváří model a služba je odesílá bez lidské kontroly. Anthropic uvádí, že se tak ke správcům dostanou rychleji, současně ale mohou obsahovat nepřesnosti, například chybné hodnocení závažnosti. Firma očekává podíl správně pozitivních nálezů nad 90 % a plánuje postupně zlepšovat tento podíl i kvalitu navrhovaných oprav.
Služba je určena projektům, jejichž správci mají kapacitu průběžně zpracovávat nalezené problémy. Pro ostatní Anthropic zachovává lidsky ověřená oznámení předávaná podle své politiky koordinovaného zveřejňování zranitelností.
Claude a inženýři pro obránce průmyslových systémů
Druhou částí iniciativy je Critical Infrastructure Defense Program (CIDP). Důvěryhodným dodavatelům zabezpečení průmyslových systémů poskytuje pokročilé modely Claude, inženýry pracující přímo na místě a výzkum hrozeb. Program začíná s malou skupinou poskytovatelů; podle Anthropicu má tato spolupráce ukázat, které postupy jsou účinné a použitelné v praxi.
Anthropic upozorňuje na zvláštní nároky provozních technologií v elektrických sítích, vodárnách, továrnách a dopravě. Tyto systémy často nelze odstavit kvůli instalaci bezpečnostních oprav a změny v nich jsou rizikové. Známé zranitelnosti proto podle firmy mohou zůstávat nevyřešené celé roky.
Mezi zakládající partnery patří Accenture, Booz Allen, CrowdStrike a Deloitte. Zapojily se také společnosti Dragos, Hitachi, Insane Cyber a Nozomi Networks. Seznam doplňují Palo Alto Networks, PwC a Rockwell Automation.
Podle Anthropicu už několik partnerů používá Claude k opravám zranitelností a pomáhá s tím i svým zákazníkům. V příštích měsících chce firma CIDP rozšířit o další partnery a sektory a sdílet zkušenosti včetně postupů, které se neosvědčily.
Dalším krokem mají být automatizované opravy
U open-source softwaru Anthropic plánuje rozšířit OSS Scanner na další projekty. Pro zájemce chce automatizovat také třídění nálezů a přípravu oprav. Vedle oprav jednotlivých chyb hodlá zkoumat bezpečnější softwarové architektury a postupy, které umožní kód zpevnit nebo přepsat.
Jak se zapojit do obranných programů
Dodavatelé bezpečnostních produktů a služeb pro kritickou infrastrukturu mohou již nyní registrovat zájem o účast v CIDP. Další cestou k modelům je rozšířený Cyber Verification Program, do kterého Anthropic začátkem týdne sloučila Project Glasswing.
O přístup k modelům v Cyber Verification Programu mohou žádat bezpečnostní týmy všech velikostí. Tato možnost zahrnuje také provozovatele kritické infrastruktury a správce open-source projektů.
