Anthropicのセキュリティ研究者が、AIを使ってソフトウェアの攻撃面を削減するためのガイドを無料で公開しました。 今まさに私たちが目撃している数々のハッキング行為の中でも、これはかつてないほど重要です。 ウェブサイト、アプリケーション、またはオンラインシステムを運用している場合、それらはパスワードなしで攻撃者が到達できる最も脆弱な部分です。個々の脆弱性を一つずつ探し出すのではなく、外部からのアクセス可能な領域を減らすことが目的です。これにより、まだ誰も発見していないエラーですら、アクセスがより困難になります。 Anthropicは、この手法をサーバーへのリモートアクセスに広く使われているOpenSSHで試しました。同社はこのソフトウェアを「世界で最も徹底的にレビューされたコードの一つ」と呼んでいます。同社の推計によると、この取り組みにより、ログインなしでアクセス可能なコードの約20％が削減されました。 AnthropicはClaudeに3つの観点から調査をさせ、すべての発見を検証しました。同社は、このアプローチ全体が自社が開発したツールなしでも有効であると述べています。手順は以下の通りです： 1. ソフトウェアがデフォルトでインストールされた状態で、外部からアクセス可能だが、通常の機能では一切使用されていないコードを探します。 2. ログインなどの保護メカニズムより前に実行される、複雑でセンシティブなコードを探します。 3. 設定の組み合わせをテストします。単独では妥当に見える2つのオプションが、組み合わさることで予期せず保護機能を無効化することがあります。 4. コードを読むだけでなく、実際のソフトウェアを実行して各発見を確認します。 5. 新たな遮断を適用した後、プロジェクトのオリジナルテストを実行し、以前と同じ結果を得られるか確認します。標準外の設定変更が生じた場合は、人間が判断できるようにします。 Anthropicのテストでは、Claudeが500万行以上のコードを含む25のオープンソースプロジェクトで493の問題を特定しました。OpenSSHでは、デフォルトインストール状態でログイン前になんでもアクセス可能な実験的機能の約4,500行が該当しました。 AnthropicはOpenSSHの管理者に問題を報告し、修正を協力して調整しました。そのうち最初の修正は8月のバージョン10.5に、残りは10月6日のバージョン10.6に反映されました。 まず、ご自身のソフトウェアをデフォルトでインストールされた状態から始めましょう。 これがOpenSSHにあったとすれば、誰もレビューしていないコードにはどれほど多くの問題が潜んでいるでしょうか。