El investigador de seguridad de Anthropic publicó gratuitamente el playbook sobre cómo puedes usar IA para reducir la superficie de ataque de tus programas. Y en medio de todos estos exploits que estamos viendo ahora, esto es más importante que nunca. Si mantienes un sitio web, una aplicación o un sistema en línea, esta es la parte más expuesta, porque un atacante puede llegar hasta ella sin necesidad de ninguna contraseña. En lugar de buscar vulnerabilidad tras vulnerabilidad, la idea es dejar menos cosas abiertas a quienes están fuera. Así, incluso un error que aún nadie ha encontrado se vuelve más difícil de alcanzar. Anthropic probó esto en OpenSSH, el programa que los administradores usan para acceder a servidores por internet y que ella llama uno de los códigos más revisados del mundo. Según el cálculo de la propia empresa, este trabajo redujo aproximadamente un quinto del código que alguien sin inicio de sesión podía alcanzar con el programa en su configuración de instalación predeterminada. Anthropic le pidió a Claude que buscara en tres frentes y verificara cada hallazgo, y afirma que la idea general tiende a funcionar incluso sin la herramienta que ella desarrolló. El paso a paso es el siguiente: 1 - Con el programa en su configuración de instalación predeterminada, busca código que alguien externo pueda alcanzar pero que ninguna función normal del programa utilice. 2 - Busca código complejo y sensible que se ejecute antes de una protección como el inicio de sesión. 3 - Prueba combinaciones de configuraciones. Dos opciones pueden parecer razonables por separado y, juntas, desactivar una protección sin avisar. 4 - Confirma cada hallazgo ejecutando el programa en realidad, no solo leyendo el código. 5 - Después de cada bloqueo nuevo, ejecuta las pruebas del propio proyecto y exige el mismo resultado anterior. Si el cambio afecta una configuración fuera del valor predeterminado, deja que una persona decida. En las pruebas de Anthropic, Claude identificó 493 problemas en 25 proyectos de código abierto, que suman más de 5 millones de líneas. En OpenSSH, eran alrededor de 4.500 líneas de una característica experimental que cualquier persona podía alcanzar antes del inicio de sesión, con la configuración predeterminada del programa. Anthropic notificó a los responsables de OpenSSH y ajustó la corrección con ellos. Una primera parte se lanzó en la versión 10.5 en agosto, y el resto en la 10.6 el 6 de octubre. Comienza con tu propio programa, en su configuración de instalación predeterminada. Si esto estaba en OpenSSH, imagina qué pasa con el código que nadie revisa.