Claude ile kod saldırı yüzeyini küçültmek: 25 projede 493 sorun
Anthropic, Claude'un bir yazılımda dağıtımın ihtiyaç duymadığı ama erişilebilir kalan kodu bulup kısıtlamasına dair bir araştırma paylaştı. 25 açık kaynak projede (5 milyondan fazla satır) 493 sorun tespit edildi. OpenSSH'de kimlik doğrulamadan önce çalışan yaklaşık 4.500 satırlık deneysel kod, yamalarla 10.5 ve 10.6 sürümlerinde kapatıldı. AI ile güvenlik incelemesi yapan ekipler için somut bir yöntem sunuyor.
Kilit noktalar
- Yöntem üç eksende çalışır: varsayılan yapılandırmada erişilebilen kod, riskli seçenek çiftleri ve kimlik doğrulamadan önce çalışan kod.
- 25 projede 493 bulgu raporlandı; bunların 162'si güvenlik açısından hassas yapılandırma kombinasyonlarıydı, 94'ü bir güvenlik kontrolünü sessizce kapatıyordu.
- Hostname tabanlı bir deny listesi, ters DNS araması kapalıyken IP adresini eşleştiremez ve kural fail open davranır.
- OpenSSH 10.4'te yaklaşık 4.500 satır ML-DSA-44 kodu kimliği doğrulanmamış istemciye açıktı; 10.5 kontrolü ayrıştırmadan önceye taşıdı.
- OpenSSH 10.6, sertifika CA imzası ve algoritma adı uyuşmazlığı gibi kalan boşlukları kapattı.
- Kendi kod tabanınızda hangi kodun gerçekten erişilebilir olduğunu kimlik doğrulama ve varsayılan yapılandırma açısından sorgulayın.
Anthropic, Claude'u kullanarak yazılımın saldırı yüzeyini azaltmaya yönelik ön araştırmasını yayımladı. Yaklaşım, bir dağıtımın gerekmediği halde erişilebilir kalan kodu bulup kapatmaya dayanıyor. Bu yöntem, her açığı tek tek bulup düzeltmeden bilinmeyen açıkların şiddetini düşürür. C, C++, Java, PHP ve Python ile yazılmış 25 projede Claude varsayılan yapılandırma, riskli seçenek kombinasyonları ve kimlik doğrulamadan önce çalışan kod üzerinden 493 bulgu raporladı.
Öne çıkan örneklerden biri OpenSSH. Claude, 10.4 sürümünde kimliği doğrulanmamış bir istemcinin varsayılan ayarlarda ulaşabildiği yaklaşık 4.500 satır ML-DSA-44 kodu buldu. Ekip yamalarla birlikte bildirimde bulundu; 10.5 sürümü kontrolü ayrıştırmadan önceye taşıdı, 10.6 ise kalan boşlukları kapattı. Ekipler için temel mesaj, yalnızca açıklara değil, erişilebilir kodun tamamına bakmanın gerektiğidir.
Gerçek dünyada kullanımı
- Kimlik doğrulama gerektiren bir kurumsal SSH veya VPN sunucusunda, doğrulama öncesinde çalışan ayrıştırıcı kodlarını AI ile taramak.
- Yapılandırma dosyası çok seçenekli bir ağ servisinde, birlikte kullanıldığında bir güvenlik denetimini sessizce kapatan kombinasyonları bulmak.
- Üçüncü taraf açık kaynak bağımlılığını kullanan bir ekipte, dağıtım yapılandırmasında gereksiz kalan özellikleri kapatıp saldırı yüzeyini azaltmak.
Neden önemli
AI ile güvenlik incelemesi yapan geliştirici, yalnızca bilinen açıkları aramakla kalmayıp erişilebilir kodu azaltarak bilinmeyen açıkların riskini de düşürebilir. Yapılandırma seçenekleri birlikte test edilmeden kullanıldığında güvenlik kontrollerinin sessizce devre dışı kalabileceğini göstermesi, ekiplerin konfigürasyon denetimini iş akışına eklemesi gerektiğini ortaya koyuyor.