Anthropic utilizó Claude para analizar 25 proyectos de código abierto escritos en C, C++, Java, PHP y Python. La revisión abarcó más de cinco millones de líneas de código e identificó casi 500 problemas de seguridad, entre ellos controles desactivados por configuraciones incompatibles, código sensible accesible antes de la autenticación y una falla que llevaba 21 años en el código.
El enfoque fue más allá de buscar vulnerabilidades individuales. En su informe, Anthropic sostiene que esa tarea es difícil de escalar y no garantiza por sí sola la seguridad. En cambio, propone reducir la superficie de ataque: limitar el acceso a funciones y componentes que no necesitan estar expuestos.
La compañía argumenta que esta estrategia puede disminuir el riesgo asociado tanto a vulnerabilidades conocidas como a fallas todavía sin descubrir, incluidas aquellas que podrían estar siendo explotadas sin que los desarrolladores lo sepan.
### Controles de seguridad mal configurados
Claude elaboró un inventario de más de 17.000 opciones de configuración en los proyectos analizados. De ellas, 3.842 estaban relacionadas con controles o funciones relevantes para la seguridad.
La investigación se centró en tres fuentes de exposición: funciones habilitadas por defecto que no son necesarias, combinaciones de ajustes que debilitan las protecciones y código complejo o sensible que se ejecuta antes de completar las comprobaciones de seguridad.
En los 11 proyectos diseñados para atender a usuarios autenticados, el análisis encontró código accesible antes de lo previsto. Entre los hallazgos hubo 93 superficies de ataque previas a la autenticación en configuraciones predeterminadas, 37 casos de código ejecutado antes de autenticar al usuario y 61 combinaciones de ajustes que debilitaban los controles previos a la autenticación.
En total, los 25 proyectos incluían 162 combinaciones de configuración aceptadas cuya documentación no explicaba claramente su comportamiento. Algunas desactivaban controles de seguridad; otras generaban inconsistencias o resultados inesperados.
Uno de los problemas más antiguos llevaba más de dos décadas sin detectarse. Una opción exigía a los clientes demostrar su identidad mediante certificados, mientras que otra desactivaba esa comprobación. Aunque la segunda debía aplazar la verificación, no eliminarla, el sistema aceptaba ambas opciones en conflicto sin emitir una advertencia.
### El caso de OpenSSH
Anthropic destacó OpenSSH como caso de estudio. El software, ampliamente utilizado para el acceso remoto seguro, incluía un proceso capaz de alcanzar unas 4.500 líneas de código experimental para implementar un algoritmo de firma poscuántica antes de comprobar si la configuración del servidor permitía utilizarlo.
Aunque el algoritmo estaba desactivado de forma predeterminada, el código encargado de procesar sus datos podía ser alcanzado por clientes no autenticados. Anthropic comunicó el hallazgo al equipo de OpenSSH, que lo corrigió en la versión 10.6. Tras el cambio, alrededor del 20 % del código dejó de estar accesible para usuarios no autenticados.
### Una herramienta para reducir la exposición
Anthropic combinó estas técnicas en una herramienta reutilizable de Claude que prevé integrar en OSS-Scanner, su servicio gratuito y voluntario de análisis de seguridad para proyectos de código abierto. La herramienta revisará las configuraciones predeterminadas, el código accesible antes de las comprobaciones de seguridad y las opciones que puedan entrar en conflicto.
El sistema también verificará sus hallazgos mediante trazado dinámico del programa y probará los cambios propuestos frente al comportamiento existente. Las modificaciones que puedan tener efectos disruptivos quedarán sujetas a revisión humana.
No es posible saber con exactitud cuántas vulnerabilidades desconocidas contiene un programa, pero reducir el código innecesariamente expuesto puede dificultar su explotación. La investigación plantea así un uso práctico de la IA en seguridad: ayudar a los equipos a detectar y cerrar rutas de acceso evitables antes de que se conviertan en una oportunidad para los atacantes.
from Latest from TechRadar https://ift.tt/2tyD3T9
via IFTTT IA
