@meanAnthropic OSS Scanner'ı Duyurdu: Açık Kaynak Projelere Yapay Zekanın Bulduğu Açıklar İnsan Onayı Olmadan Gelecek
Anthropic, 8 Ekim'de iki yeni siber güvenlik girişimi açıkladı. İlki OSS Scanner, açık kaynak projeleri şirketin en yetenekli modelleriyle düzenli aralıklarla tarayan ücretsiz bir hizmet. İkincisi ise enerji, su, üretim ve ulaşım işletmelerine operasyonel teknoloji (OT) güvenliği sağlayan firmalara yönelik Critical Infrastructure Defense Program.
OSS Scanner, Google'ın OSS-Fuzz hizmetini örnek alıyor ve yalnızca katılmayı seçen projeleri tarıyor. Her raporda olası açığın tarifi, nasıl istismar edilebileceğini gösteren bir kavram kanıtı (PoC) ve varsa önerilen düzeltme yer alıyor. Asıl fark, raporların insan incelemesinden geçmeden gönderilmesi. Anthropic bazı raporların hatalı olacağını, örneğin önem derecesinin yanlış belirlenebileceğini açıkça kabul ediyor ve doğru pozitif oranının yüzde 90'ın üzerinde olmasını bekliyor.
Şirket hizmeti, büyük hacimli bulguları ayıklayabilen bakımcıların incelenmemiş olanlar dahil tüm bulguları istemesi üzerine başlattığını söylüyor. Bu hacmi kaldıramayacak projeler, insan tarafından doğrulanmış bildirimleri Anthropic'in koordineli açık bildirme süreci üzerinden almaya devam edecek. Anthropic'e göre Project Glasswing deneyimi, açık bulmanın kolaylaştığını ama doğrulama, önceliklendirme ve yamalamanın hâlâ zor olduğunu gösterdi. Glasswing kapsamında bulunan açıkların düzeltilmesi çoğu zaman aylar sürmüş.
Kritik altyapı programının 11 kurucu ortağı Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC ve Rockwell Automation. Bu firmalara en gelişmiş Claude modelleri, sahada çalışacak mühendisler ve Anthropic'in tehdit araştırmaları sağlanacak. OT sistemleri yama için çoğu zaman kapatılamadığından bilinen açıklar yıllarca açık kalabiliyor; şirket bazı nadir durumlarda güvenli bir yamanın on yıllar sürebileceğini söylüyor.
Türkiye'deki yazılım ekiplerinin büyük kısmı da açık kaynak kütüphanelere dayanıyor ve pek çok açık kaynak projenin bakımı gönüllü, küçük ekiplerin omzunda. Bu ekipler için yüzde 10'luk bir yanlış alarm payı bile ciddi bir zaman yükü anlamına geliyor.
Güvenlik tarafından bakınca açıkçası temkinliyim. Doğru pozitif oranı yüzde 90 olsa bile gönüllü bir bakımcının gelen kutusuna yüzlerce PoC düşmesi yeni bir yorgunluk kaynağı olabilir. Bu PoC'lerin yanlış ellere geçmemesi için nasıl bir kontrol uygulanacağı da henüz net değil.
OSS Scanner, Google'ın OSS-Fuzz hizmetini örnek alıyor ve yalnızca katılmayı seçen projeleri tarıyor. Her raporda olası açığın tarifi, nasıl istismar edilebileceğini gösteren bir kavram kanıtı (PoC) ve varsa önerilen düzeltme yer alıyor. Asıl fark, raporların insan incelemesinden geçmeden gönderilmesi. Anthropic bazı raporların hatalı olacağını, örneğin önem derecesinin yanlış belirlenebileceğini açıkça kabul ediyor ve doğru pozitif oranının yüzde 90'ın üzerinde olmasını bekliyor.
Şirket hizmeti, büyük hacimli bulguları ayıklayabilen bakımcıların incelenmemiş olanlar dahil tüm bulguları istemesi üzerine başlattığını söylüyor. Bu hacmi kaldıramayacak projeler, insan tarafından doğrulanmış bildirimleri Anthropic'in koordineli açık bildirme süreci üzerinden almaya devam edecek. Anthropic'e göre Project Glasswing deneyimi, açık bulmanın kolaylaştığını ama doğrulama, önceliklendirme ve yamalamanın hâlâ zor olduğunu gösterdi. Glasswing kapsamında bulunan açıkların düzeltilmesi çoğu zaman aylar sürmüş.
Kritik altyapı programının 11 kurucu ortağı Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC ve Rockwell Automation. Bu firmalara en gelişmiş Claude modelleri, sahada çalışacak mühendisler ve Anthropic'in tehdit araştırmaları sağlanacak. OT sistemleri yama için çoğu zaman kapatılamadığından bilinen açıklar yıllarca açık kalabiliyor; şirket bazı nadir durumlarda güvenli bir yamanın on yıllar sürebileceğini söylüyor.
Türkiye'deki yazılım ekiplerinin büyük kısmı da açık kaynak kütüphanelere dayanıyor ve pek çok açık kaynak projenin bakımı gönüllü, küçük ekiplerin omzunda. Bu ekipler için yüzde 10'luk bir yanlış alarm payı bile ciddi bir zaman yükü anlamına geliyor.
Güvenlik tarafından bakınca açıkçası temkinliyim. Doğru pozitif oranı yüzde 90 olsa bile gönüllü bir bakımcının gelen kutusuna yüzlerce PoC düşmesi yeni bir yorgunluk kaynağı olabilir. Bu PoC'lerin yanlış ellere geçmemesi için nasıl bir kontrol uygulanacağı da henüz net değil.
7 0 yorum