Nhà nghiên cứu bảo mật của Anthropic đã phát hành miễn phí bản hướng dẫn về cách bạn có thể sử dụng AI để thu hẹp bề mặt tấn công của các chương trình của mình. Và trong bối cảnh tất cả những lỗ hổng đang được phát hiện hiện nay, điều này quan trọng hơn bao giờ hết. Nếu bạn duy trì một trang web, ứng dụng hoặc hệ thống trực tuyến, đây chính là phần dễ bị tổn thương nhất, vì kẻ xâm nhập có thể tiếp cận nó mà không cần bất kỳ mật khẩu nào. Thay vì tìm kiếm từng lỗ hổng một, ý tưởng là giảm thiểu số lượng mã có thể truy cập từ bên ngoài. Như vậy, ngay cả những lỗi chưa ai phát hiện vẫn sẽ khó tiếp cận hơn. Anthropic đã thử nghiệm phương pháp này trên OpenSSH – chương trình mà các quản trị viên sử dụng để truy cập máy chủ qua internet, và mà họ gọi là một trong những mã nguồn được kiểm tra kỹ lưỡng nhất thế giới. Theo tính toán của chính công ty, nỗ lực này đã loại bỏ khoảng một phần năm mã nguồn mà người không có quyền đăng nhập có thể truy cập trong cài đặt mặc định của chương trình. Anthropic đã giao cho Claude nhiệm vụ tìm kiếm theo ba hướng và xác minh từng phát hiện, đồng thời cho rằng ý tưởng tổng thể này vẫn hiệu quả ngay cả khi không dùng đến công cụ do họ xây dựng. Các bước cụ thể như sau: 1 – Với chương trình ở trạng thái cài đặt mặc định, tìm các đoạn mã mà người bên ngoài có thể truy cập nhưng không được sử dụng bởi bất kỳ chức năng thông thường nào của chương trình. 2 – Tìm các đoạn mã phức tạp và nhạy cảm chạy trước khi kích hoạt các biện pháp bảo vệ như đăng nhập. 3 – Thử nghiệm các tổ hợp cấu hình. Hai tùy chọn có thể hợp lý khi xét riêng lẻ, nhưng khi kết hợp lại có thể vô hiệu hóa một lớp bảo vệ mà không hề cảnh báo. 4 – Xác minh từng phát hiện bằng cách chạy chương trình thật, chứ không chỉ đọc mã nguồn. 5 – Sau mỗi lần chặn mới, chạy lại các bài kiểm tra của chính dự án và yêu cầu kết quả giống như trước đây. Nếu thay đổi ảnh hưởng đến cấu hình không phải mặc định, hãy để con người quyết định. Trong các bài kiểm tra của Anthropic, Claude đã phát hiện 493 vấn đề trong 25 dự án mã nguồn mở, tổng cộng hơn 5 triệu dòng mã. Với OpenSSH, đó là khoảng 4.500 dòng mã của một tính năng thí nghiệm mà bất kỳ ai cũng có thể truy cập trước khi đăng nhập, trong cài đặt mặc định của chương trình. Anthropic đã thông báo cho các nhà phát triển OpenSSH và phối hợp sửa lỗi cùng họ. Một phần đầu tiên đã được đưa vào phiên bản 10.5 vào tháng Tám, và phần còn lại trong phiên bản 10.6 vào ngày 6 tháng Mười. Hãy bắt đầu với chính chương trình của bạn, ở trạng thái cài đặt mặc định. Nếu điều này xảy ra với OpenSSH, hãy tưởng tượng những mã nguồn không ai kiểm tra thì sao?