Anthropic, Açık Kaynak Projelerde Güvenlik Kontrollerini Devre Dışı Bırakan 94 Hata Tespit Etti

Anthropic'in Frontier Red Team ekibi, açık kaynaklı yazılımların güvenlik mimarisindeki zayıflıkları ortaya çıkarmak için kapsamlı bir analiz gerçekleştirdi. Claude yapay zeka modelini kullanarak 25 farklı projeyi inceleyen ekip, gereksiz kod erişimi, çelişkili yapılandırma ayarları ve güvenlik kontrollerinden önce çalışan karmaşık işlemler içeren toplam 493 sorun raporladı.

Claude, projeler genelinde 162 adet güvenlik açısından hassas yapılandırma kombinasyonunu tespit etti. Bu kombinasyonların hiçbir hata mesajı veya uyarı üretmeden kabul edildiği, 94 vakada ise güvenlik kontrollerinin sessizce devre dışı bırakıldığı gözlemlendi. Örneğin, bazı sunucularda istemci sertifikası zorunluluğu, çelişkili ayarlar nedeniyle devre dışı kalıyor ve sistem herhangi bir uyarı vermeden herkesin bağlantısına izin veriyordu. Anthropic, bu tür çelişkili ayarların bazı projelerde 21 yıldır fark edilmeden varlığını sürdürdüğünü belirtti.

İlginizi çekebilir · Siber GüvenlikLiteLLM Paketine Sızan Saldırganlar Kimlik Bilgilerini Çalıyor

Ekip, bu yaklaşımı OpenSSH üzerinde de test etti. Claude, kimlik doğrulaması yapılmamış istemcilerin, yöneticiler tarafından açıkça yasaklanmış olsa dahi erişebildiği yaklaşık 4.500 satırlık deneysel kriptografik kod tespit etti. Söz konusu kod, kuantum sonrası imza algoritması olan ML-DSA-44'ü işliyordu ve OpenSSH, anahtarın türünü kontrol etmeden önce işlemi başlatıyordu. Anthropic'in sağladığı yamalarla OpenSSH 10.6 sürümünde bu kontroller ayrıştırıcı içine taşındı ve kimlik doğrulaması öncesi erişilebilir kod miktarı yaklaşık beşte bir oranında azaltıldı.

Anthropic, bu teknikleri yeniden kullanılabilir bir Claude yeteneğine dönüştürerek, açık kaynaklı projeler için sunduğu ücretsiz güvenlik tarama hizmeti OSS Scanner'a entegre etmeyi planlıyor. Bu sistem, varsayılan olarak açık olan gereksiz kodları, kimlik doğrulaması öncesi erişilebilir fonksiyonları ve güvenliği zayıflatan ayar kombinasyonlarını otomatik olarak denetleyecek. Claude, bulgularını dinamik yürütme izleri ile doğruluyor ve sistemin çalışma mantığını bozmayacak şekilde yapılandırma kontrollerinin taşınması veya çelişkili ayarların reddedilmesi gibi çözüm önerileri sunuyor.