Криптовалютні компанії звертаються до Anthropic AI для виявлення вразливостей безпеки

Криптовалютні компанії, включаючи розробника Ethereum Nethermind та гаманець Bitcoin ZEUS, подали заявки на доступ до нового сканера безпеки AI від Anthropic, який використовує Claude Mythos для виявлення вразливостей програмного забезпечення до того, як зловмисники їх експлуатують.

• Розробник Ethereum Nethermind та гаманець Bitcoin ZEUS запросили доступ до безкоштовної служби сканування безпеки Anthropic.
• Anthropic повідомляє, що його сканер використовує Claude Mythos і надсилає автоматизовані звіти про вразливості без людської перевірки.
• Nethermind запросив сканування репозиторіїв, тоді як ZEUS шукав перевірки, що охоплюють платежі, приватні ключі та з'єднання Lightning.
• Anthropic повідомляє про виявлення 29 000 кандидатів на вразливості, з яких лише приблизно 6 000 були перевірені вручну.

Anthropic запустив безкоштовний OSS Scanner 8 жовтня, дозволяючи відповідним проектам з відкритим кодом отримувати автоматизовані звіти, що вказують на можливі вразливості безпеки. Заявки, подані 9 жовтня, свідчать про зростаючий інтерес серед розробників криптовалют до використання передових AI-інструментів для перевірки коду, що обробляє транзакції, приватні ключі та інфраструктуру блокчейну.

Програма слідує за ініціативою Anthropic Project Glasswing, яка надала обраним організаціям доступ до потужних AI-моделей для досліджень у сфері кібербезпеки. На відміну від існуючого процесу розкриття, нова служба надсилає результати без очікування на людську перевірку.

Розробники криптовалют просять доступ до сканування безпеки Claude Mythos

Розробник клієнта Ethereum Nethermind був одним з перших блокчейн-проектів, які звернулися до реєстрації, подавши запит на GitHub #38 в п'ятницю. Заявка запитує сканування безпеки в його репозиторії, де розробники підтримують програмне забезпечення, що використовується для взаємодії з мережею Ethereum.

Nethermind розробляє клієнт виконання Ethereum, програмне забезпечення, яке обробляє транзакції блокчейну та підтримує операції мережі. Його заявка надасть команді доступ до звітів, згенерованих AI, що вказують на потенційні слабкості в його коді, якщо Anthropic схвалить запит.

Гаманець Bitcoin і Lightning ZEUS подав окрему заявку, шукаючи перевірки свого мобільного додатку та компонентів, які обробляють платежі, приватні ключі та з'єднання Lightning. Цей самостійний гаманець дозволяє користувачам керувати Bitcoin, зберігаючи контроль над своїми коштами.

VirtEngine, децентралізований ринок хмарних обчислень, побудований за допомогою Cosmos SDK, подав заявку на реєстрацію через іншу подачу на GitHub. Проект розробляє інфраструктуру для децентралізованих обчислювальних послуг, що робить його програмне забезпечення ще одним потенційним кандидатом для сканера.

Заявки залишаються запитами на участь, а не підтвердженням того, що проекти завершили аудити безпеки. Anthropic оцінює подання індивідуально, враховуючи їх важливість для інфраструктури, вразливість до віддалених атак і те, скільки інших систем залежить від їхнього програмного забезпечення.

Серед інших заявників є розробники AI-асистентів, інструментів безпеки, інфраструктури машинного навчання та систем хмарного зберігання. Anthropic не оголосив фіксованого графіка для схвалення крипто-проектів або доставки їх перших звітів.

Anthropic повідомляє, що AI-сканер виявив тисячі вразливостей безпеки

Anthropic розробив OSS Scanner після виявлення того, що його AI-моделі можуть виявляти потенційні програмні вади швидше, ніж дослідники можуть їх перевіряти вручну.

Протягом останніх шести місяців компанія заявила, що її моделі виявили більше 29 000 кандидатів на вразливості в широко використовуваних проектах з відкритим кодом. Дослідники перевірили вручну приблизно 6 000 знахідок, залишивши великий обсяг роботи, що чекає на оцінку.

У відповідь Anthropic представив автоматизовану систему, яка надсилає звіти безпосередньо учасникам. Компанія заявила, що служба використовуватиме свої найсильніші моделі, включаючи Claude Mythos, для генерації знахідок та запропонованих виправлень.

"Ці звіти будуть згенеровані нашими найсильнішими моделями (включаючи Claude Mythos)," - заявила Anthropic у своєму оголошенні.

На відміну від традиційних аудитів безпеки, які передбачають ручний перегляд перед розкриттям, OSS Scanner генерує звіти без людської перевірки. Anthropic визнала, що деякі результати можуть бути неточними, включаючи неправильні оцінки серйозності або вразливості, які не стосуються безпекового дизайну проєкту.

Під час раннього тестування зовнішні тестувальники з проникнення перевірили 97 вразливостей високої та критичної серйозності в 48 проєктах. Anthropic повідомила, що 85 знахідок, приблизно 88%, відповідали її стандартам для координованого розкриття вразливостей.

Серед решти 12 знахідок 11 були справжніми проблемами, які дублювали існуючі звіти або відомі вразливості. Одна була недійсною.

Компанія заявила, що її сканер надає відтворювані приклади виявлених слабкостей, пояснення ураженого коду та запропоновані патчі, коли це можливо. Учасники крипто-розробки повинні самостійно переглянути ці знахідки перед тим, як вирішити, чи необхідні зміни.

Anthropic продовжить свій існуючий процес розкриття вразливостей з людським переглядом для проєктів, які не можуть обробляти великі обсяги автоматизованих звітів.

Запуск відбувається після кількох інцидентів безпеки, коли блокчейн-компанії повідомляли про атаки, що включали автоматизовані інструменти або підозрювану допомогу ШІ.

У серпні постачальник обміну Bitcoin Boltz призупинив свою діяльність після кількох місяців атак з використанням ШІ. Компанія заявила, що зловмисники виявляли слабкості швидше, ніж її розробники могли їх дослідити та виправити.

Boltz зупинив свої послуги обміну 3 серпня після повідомлення про кілька локалізованих експлойтів. За словами команди, її самостійний дизайн запобігав витоку коштів клієнтів, хоча компанія зазнала операційних збитків.

Перерва вплинула на послуги, які покладалися на інфраструктуру Boltz, включаючи ZEUS. Гаманець тимчасово відключив функціональність обміну після закриття, тоді як окремий інцидент кібербезпеки ZEUS змусив команду вивести частину інфраструктури з експлуатації для перевірки.

Ще одна ініціатива безпеки, Bitcoin Red Team, повідомила про виявлення 4,962 потенційних вразливостей у 390 проєктах, пов'язаних з Bitcoin, під час приблизно 30 годин перевірок коду з використанням ШІ в серпні.

Огляд безпеки Bitcoin класифікував 720 знахідок як високої або критичної серйозності, хоча повідомлені проблеми вимагали перевірки перед тим, як їх можна було вважати підтвердженими вразливостями.

Раніше програма Project Glasswing від Anthropic привернула увагу відомих учасників галузі. У серпні материнська компанія Kraken Payward приєдналася до програми безпеки Claude Mythos, щоб перевірити свої системи на наявність програмних слабкостей.

Компанія заявила, що має намір сканувати свої середовища та ділитися підтвердженими знахідками, які впливають на сторонні проєкти з відкритим кодом, з їхніми утримувачами.

OSS Scanner є частиною Кібермісії Anthropic, оголошеної 8 жовтня, щоб підтримати безпеку програмного забезпечення та захист критичної інфраструктури.

Разом зі службою сканування Anthropic представила Програму захисту критичної інфраструктури, яка надає моделі ШІ, інженерну підтримку та дослідження загроз організаціям, що захищають енергетичні мережі, транспортні мережі та промислові системи.

Ініціатива включає партнерство з CrowdStrike, Accenture, Deloitte, Palo Alto Networks та кількома іншими компаніями в галузі кібербезпеки та технологій.

Для розробників з відкритим кодом Anthropic пропонує регулярні перевірки безпеки безкоштовно для затверджених проєктів. Утримувачі можуть подати заявку через репозиторій OSS Scanner на GitHub, використовуючи опублікований шаблон реєстрації.

Рішення про відповідність буде враховувати, чи має проєкт "критичний вплив на інфраструктуру та безпеку користувачів", а також здатність команди переглядати та вирішувати повідомлені вразливості.

Anthropic не оголосила, скільки крипто-проєктів вона в кінцевому підсумку прийме. Затверджені утримувачі отримають звіти, згенеровані моделлю, через цю службу, тоді як компанія продовжує пропонувати розкриття з людським переглядом через свій існуючий процес безпеки.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.