Крипто-компании обращаются к Anthropic AI для поиска уязвимостей в безопасности

Крипто-компании, включая разработчика Ethereum Nethermind и кошелек Bitcoin ZEUS, подали заявки на доступ к новому сканеру безопасности AI от Anthropic, который использует Claude Mythos для выявления уязвимостей программного обеспечения до того, как их смогут использовать злоумышленники.

• Разработчик Ethereum Nethermind и кошелек Bitcoin ZEUS запросили доступ к бесплатной службе сканирования безопасности от Anthropic.
• Anthropic утверждает, что его сканер использует Claude Mythos и отправляет автоматизированные отчеты о уязвимостях без человеческой проверки.
• Nethermind запросил сканирование репозитория, в то время как ZEUS искал проверки, охватывающие платежи, приватные ключи и соединения Lightning.
• Anthropic сообщает о нахождении 29 000 потенциальных уязвимостей, из которых только примерно 6 000 были вручную проверены внутри компании на данный момент.

Anthropic запустила бесплатный OSS Scanner 8 октября, позволяя подходящим проектам с открытым исходным кодом получать автоматизированные отчеты, выявляющие возможные слабости в безопасности. Заявки, поданные 9 октября, показывают растущий интерес среди разработчиков криптовалют к использованию передовых инструментов AI для проверки кода, который обрабатывает транзакции, приватные ключи и инфраструктуру блокчейна.

Программа следует за инициативой Anthropic Project Glasswing, которая предоставила избранным организациям доступ к мощным моделям AI для исследований в области кибербезопасности. В отличие от существующего процесса раскрытия информации, новая служба отправляет результаты без ожидания человеческой проверки.

Разработчики криптовалют запрашивают доступ к сканированию безопасности Claude Mythos

Разработчик клиента Ethereum Nethermind был одним из первых блокчейн-проектов, которые стремились к регистрации, подав запрос на пулл-реквест GitHub #38 в пятницу. Заявка запрашивает сканирование безопасности по всему его репозиторию, где разработчики поддерживают программное обеспечение, используемое для взаимодействия с сетью Ethereum.

Nethermind разрабатывает клиент исполнения Ethereum, программное обеспечение, которое обрабатывает транзакции блокчейна и поддерживает операции сети. Его заявка даст команде доступ к отчетам, сгенерированным AI, выявляющим потенциальные слабости в его коде, при условии, что Anthropic одобрит запрос.

Кошелек Bitcoin и Lightning ZEUS подал отдельную заявку, запрашивая проверки своего мобильного приложения и компонентов, которые обрабатывают платежи, приватные ключи и соединения Lightning. Этот самоуправляемый кошелек позволяет пользователям управлять Bitcoin, сохраняя контроль над своими средствами.

VirtEngine, децентрализованный рынок облачных вычислений, построенный с использованием Cosmos SDK, запросил регистрацию через другое представление на GitHub. Проект разрабатывает инфраструктуру для децентрализованных вычислительных услуг, что делает его программное обеспечение еще одним потенциальным кандидатом для сканера.

Заявки остаются запросами на участие, а не подтверждением того, что проекты завершили аудиты безопасности. Anthropic оценивает заявки индивидуально, учитывая их важность для инфраструктуры, подверженность удаленным атакам и то, сколько других систем зависит от их программного обеспечения.

Другие заявители включают разработчиков AI-ассистентов, инструментов безопасности, инфраструктуры машинного обучения и облачных систем хранения. Anthropic не объявила фиксированный график для одобрения крипто-проектов или доставки их первых отчетов.

Anthropic сообщает, что AI-сканер нашел тысячи уязвимостей в безопасности

Anthropic разработала OSS Scanner после того, как обнаружила, что ее модели AI могут выявлять потенциальные программные ошибки быстрее, чем исследователи могут их вручную проверять.

За последние шесть месяцев компания заявила, что ее модели выявили более 29 000 потенциальных уязвимостей в широко используемых проектах с открытым исходным кодом. Исследователи вручную проверили примерно 6 000 находок, оставив большую очередь, ожидающую оценки.

В ответ Anthropic представила автоматизированную систему, которая отправляет отчеты непосредственно участникам. Компания заявила, что служба будет использовать свои самые мощные модели, включая Claude Mythos, для генерации находок и предлагаемых исправлений.

"Эти отчеты будут генерироваться нашими самыми мощными моделями (включая Claude Mythos)", - заявила Anthropic в своем объявлении.

В отличие от традиционных аудитов безопасности, которые требуют ручной проверки перед раскрытием, OSS Scanner генерирует отчеты без человеческой проверки. Anthropic признала, что некоторые результаты могут быть неточными, включая неправильные оценки серьезности или уязвимости, которые не применимы к безопасности проекта.

Во время раннего тестирования внешние тестировщики на проникновение проверили 97 высокосерьезных и критических находок в 48 проектах. Anthropic сообщила, что 85 находок, примерно 88%, соответствовали ее стандартам для согласованного раскрытия уязвимостей.

Среди оставшихся 12 находок 11 были подлинными проблемами, которые дублировали существующие отчеты или известные уязвимости. Одна была недействительной.

Компания заявила, что ее сканер предоставляет воспроизводимые примеры выявленных слабостей, объяснения затронутого кода и предлагаемые патчи, когда это возможно. Участвующие разработчики криптовалют должны самостоятельно проверить эти находки, прежде чем решать, необходимы ли изменения.

Anthropic продолжит существующий процесс раскрытия уязвимостей с ручной проверкой для проектов, которые не могут обрабатывать большие объемы автоматизированных отчетов.

Запуск произошел после нескольких инцидентов безопасности, в которых компании блокчейна сообщали о атаках с использованием автоматизированных инструментов или подозреваемой помощи ИИ.

В августе поставщик обмена Bitcoin Boltz приостановил операции после нескольких месяцев атак с помощью ИИ. Компания сообщила, что злоумышленники выявляли слабости быстрее, чем ее разработчики могли их исследовать и исправить.

Boltz приостановил свои услуги обмена 3 августа после сообщения о нескольких локализованных уязвимостях. По словам команды, его самообслуживающий дизайн предотвратил раскрытие средств клиентов, хотя компания понесла операционные убытки.

Перебои затронули услуги, которые полагались на инфраструктуру Boltz, включая ZEUS. Кошелек временно отключил функциональность обмена после отключения, в то время как отдельный инцидент кибербезопасности ZEUS побудил команду отключить часть инфраструктуры для проверки.

Еще одна инициатива в области безопасности, Bitcoin Red Team, сообщила о выявлении 4,962 потенциальных уязвимостей в 390 проектах, связанных с Bitcoin, в ходе примерно 30 часов проверок кода с помощью ИИ в августе.

Обзор безопасности Bitcoin классифицировал 720 находок как высокие или критические по серьезности, хотя сообщенные проблемы требовали проверки перед тем, как их можно было считать подтвержденными уязвимостями.

Ранее программа Project Glasswing от Anthropic привлекла известных участников отрасли. В августе материнская компания Kraken, Payward, присоединилась к программе безопасности Claude Mythos, чтобы проверить свои системы на наличие программных слабостей.

Компания заявила, что намерена сканировать свои среды и делиться проверенными находками, касающимися сторонних проектов с открытым исходным кодом, с их поддерживающими.

OSS Scanner является частью кибермиссии Anthropic, объявленной 8 октября для поддержки безопасности программного обеспечения и защиты критической инфраструктуры.

Вместе со службой сканирования Anthropic представила Программу защиты критической инфраструктуры, которая предоставляет модели ИИ, инженерную поддержку и исследования угроз организациям, защищающим электросети, транспортные сети и промышленные системы.

Инициатива включает партнерство с CrowdStrike, Accenture, Deloitte, Palo Alto Networks и несколькими другими компаниями в области кибербезопасности и технологий.

Для разработчиков с открытым исходным кодом Anthropic предлагает регулярные проверки безопасности без оплаты для одобренных проектов. Поддерживающие могут подать заявку через репозиторий OSS Scanner на GitHub, используя опубликованный шаблон регистрации.

Решения о праве на участие будут учитывать, имеет ли проект "критическое влияние на инфраструктуру и безопасность пользователей", а также способность команды проверять и устранять сообщенные уязвимости.

Anthropic не объявила, сколько криптопроектов она в конечном итоге примет. Одобренные поддерживающие получат отчеты, сгенерированные моделью, через сервис, в то время как компания продолжает предлагать раскрытия с ручной проверкой через свой существующий процесс безопасности.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.