Исследователь безопасности Anthropic бесплатно опубликовал руководство о том, как использовать ИИ для сокращения поверхности атаки ваших программ. И среди всех этих эксплойтов, которые мы сейчас наблюдаем, это стало важнее, чем когда-либо. Если вы поддерживаете веб-сайт, приложение или онлайн-систему, именно эта часть наиболее уязвима, поскольку злоумышленник может добраться до неё без каких-либо паролей. Вместо поиска уязвимостей одна за другой, идея заключается в том, чтобы оставить меньше открытых компонентов для внешних пользователей. Таким образом, даже ошибка, которую ещё никто не обнаружил, становится значительно сложнее для достижения. Anthropic протестировала этот подход на OpenSSH — программе, которую администраторы используют для доступа к серверам через интернет, и которую она называет одной из самых тщательно проверенных в мире. По оценкам самой компании, эта работа сократила примерно на пятую часть код, доступный для пользователя без входа в систему в стандартной установке программы. Anthropic поручила Claude искать уязвимости по трём направлениям и проверять каждое обнаруженное открытие, утверждая, что общая идея работает даже без специального инструмента, который они разработали. Пошаговый процесс выглядит так: 1. В стандартной установке программы найдите код, к которому может получить доступ внешний пользователь, но который не используется ни одной из обычных функций программы. 2. Найдите сложный и чувствительный код, выполняющийся до включения защиты, например, перед входом в систему. 3. Тестируйте комбинации конфигураций. Две отдельные опции могут казаться разумными по отдельности, но вместе они могут отключить защиту без предупреждения. 4. Подтвердите каждое обнаружение, запуская программу в реальности, а не просто анализируя код. 5. После каждого нового блокирования запускайте собственные тесты проекта и требуйте того же результата, что и раньше. Если изменение затрагивает нестандартную конфигурацию, пусть человек примет решение. В тестах Anthropic Claude выявил 493 проблемы в 25 проектах с открытым исходным кодом, объединяющих более 5 миллионов строк кода. В OpenSSH это были около 4500 строк экспериментальной функции, доступной любому пользователю до входа в систему в стандартной установке. Anthropic уведомила ответственных за OpenSSH и совместно с ними доработала исправления. Первая часть исправлений была выпущена в версии 10.5 в августе, а остальные — в версии 10.6 6 октября. Начните со своей собственной программы в её стандартной установке. Если это было в OpenSSH, представьте, что может быть в коде, который никто не проверяет.