Нээлттэй эхийн цоорхойг автоматаар илрүүлж нөхнө: Anthropic 90%-ийн нарийвчлалтай "OSS Scanner"-аа танилцууллаа

Дэлхийн өнцөг булан бүрд ажиллаж буй сая сая программ хангамжийн суурь нь нээлттэй эхийн (OSS - Open Source Software) сангууд дээр тогтдог. Гэвч ихэнх нээлттэй эхийн чухал сангуудыг цөөн тооны сайн дурын хөгжүүлэгч, maintainer нар чөлөөт цагаараа арчилж торддог бөгөөд аюулгүй байдлын цоорхойг илрүүлж нөхөх цаг, нөөц байнга дутагдсаар ирсэн билээ. Үүний зэрэгцээ орчин үеийн хүчирхэг AI загваруудыг ашиглан хакерууд системүүдийн эмзэг сул талыг хормын төдийд илрүүлж, дайралт хийх эрсдэл эрс нэмэгдэж байна.

Энэхүү тэнцвэргүй байдлыг хамгаалагч талын талд эргүүлэх зорилгоор Anthropic компани кибер аюулгүй байдлыг бэхжүүлэх урт хугацааны "Anthropic Cyber Mission" санаачилгаа албан ёсоор эхлүүлж байгаагаа зарлалаа. Энэхүү ажлын хүрээнд нээлттэй эхийн хөгжүүлэгчдэд зориулсан бүрэн үнэ төлбөргүй OSS Scanner болон чухал дэд бүтцийн хамгаалалтын CIDP хөтөлбөрийг танилцуулсан байна.

Халдагчдаас түрүүлж хамгаалагчдад зэвсэг өгөх нь

Anthropic-ийн үзэж буйгаар фронтиер түвшний хиймэл оюуны загварууд нь кибер халдлага хийх чадвартай болох тусам хамгаалагчдад хамгийн сүүлийн үеийн зэвсэг, нөөцийг өгөх нь чухал болж байна. Төрийн ивээлтэй хакерын бүлэглэлүүд болон кибер гэмт хэрэгтнүүд олон жилийн турш чухал системүүдэд нэвтрэх замуудыг судалсаар ирсэн.

"Бидний зорилго бол халдагчид цоорхойг ашиглахаас өмнө хамгаалагчдыг чадавхжуулах явдал юм" хэмээн Anthropic мэдэгдэлдээ дурджээ. Ингээд тэд хүчээ хоёр чиглэлд төвлөрүүлж байна:

Critical Infrastructure (Чухал дэд бүтэц): Цахилгаан станц, ус түгээх систем, тээврийн дэд бүтцийг удирдах технологиуд (Operational Technology).
Open-Source Software (Нээлттэй эхийн программ хангамж): Дэлхийн технологийн экосистемийн үндэс суурь болсон код.

OSS Scanner: Шалгаж, тайлагнаж, засварыг нь бэлтгэж өгнө

Нээлттэй эхийн хөгжүүлэгчдийн хувьд энэхүү мэдэгдлийн хамгийн чухал хэсэг нь OSS Scanner юм. Энэ нь бүртгүүлсэн нээлттэй эхийн төслүүдийн кодыг Anthropic-ийн хамгийн хүчирхэг Claude загваруудаар үнэ төлбөргүй, тогтмол шалгах үйлчилгээ юм.

Уламжлалт статик код шинжлэгч (SAST) багажуудаас ялгаатай нь OSS Scanner нь дараах онцлогуудтай:

Working Proof-of-Concept (PoC): Эмзэг байдал илэрсэн тохиолдолд уг алдааг бодит амьдрал дээр хэрхэн ашиглаж (exploit) болохыг харуулсан ажиллах PoC кодыг хамт үүсгэнэ.
Suggested Patch: Зөвхөн асуудлыг хэлээд зогсохгүй, тухайн сул талыг хэрхэн засах боломжтойг харуулсан бэлэн кодын засвар (patch)-ийг санал болгоно.
90%+ True-Positive үзүүлэлт: Өмнөх үеийн автомат шалгагчуудын хамгийн том сул тал нь асар олон тооны хуурамч анхааруулга (false positives) гаргаж, maintainer нарын цагийг бардаг явдал байсан. Харин OSS Scanner нь 90-ээс дээш хувийн үнэн бодит байдлын магадлалтай үр дүн өгөхөөр тохируулагдсан байна.
Хүний оролцоогүй шуурхай хүргэлт: Тайлангуудыг дундын шалгалтгүйгээр, загвар үүсгэсэн даруйд нь maintainer нарт шууд хүргэхээр шийджээ. Энэ нь мэдээлэл хурдан хүрэх давуу талтай боловч зарим тохиолдолд алдааны аюулын зэрэглэл (severity)-ийг буруу үнэлэх магадлалтайг Anthropic сануулсан байна.

Хөгжүүлэгчид өөрсдийн нээлттэй эхийн төслийг red.anthropic.com/oss-scanner хуудсаар дамжуулан уг үйлчилгээнд бүртгүүлэх боломжтой.

Project Glasswing-ийн туршлага дээр суурилсан нь

Anthropic өмнө нь аюулгүй байдлын цөөн тооны түншүүдтэйгээ хамтран Project Glasswing нэртэй хаалттай төслийг хэрэгжүүлж байсан билээ. Уг төслийн туршилтаар хэдхэн сарын дотор 5,500 гаруй шалгагдсан ноцтой эмзэг байдлыг нээлттэй эхийн кодуудаас илрүүлж чадсан байна.

Гэвч тэндээс авсан гол сургамж нь: "Эмзэг байдлыг илрүүлэх нь амархан болсон, харин тэдгээрийг бодитоор баталгаажуулж, эрэмбэлж, код дээр нөхөх нь хамгийн том бэрхшээл хэвээр байна" гэсэн дүгнэлт байв. Иймээс OSS Scanner нь зүгээр нэг алдааны урт жагсаалт илгээх биш, харин шууд хэрэгжүүлэх боломжтой patch-тай нь хамт хүргэдгээрээ давуу талтай юм.

Чухал дэд бүтцийн хамгаалалт: CIDP хөтөлбөр

Нээлттэй эхээс гадна Anthropic цахилгаан эрчим хүч, усан хангамж, тээврийн сүлжээний үйлдвэрлэлийн системүүдийг хамгаалах Critical Infrastructure Defense Program (CIDP)-ийг эхлүүллээ. Энэ хөтөлбөрийн хүрээнд тэд Claude-ийн тусгай загварууд болон өөрсдийн инженерүүдийг газар дээр нь томилон ажиллуулах юм.

Уг хөтөлбөрийн үүсгэн байгуулагч түншүүдээр CrowdStrike, Palo Alto Networks, Hitachi, Rockwell Automation, Deloitte, Accenture, Dragos зэрэг кибер аюулгүй байдал, дэд бүтцийн салбарын 11 том акул нэгдээд байна. Үйлдвэрлэлийн OT (Operational Technology) системүүд нь өдөр тутмын серверийн шинэчлэл шиг амархан reboot хийж болдоггүй тул цоорхойг олон жилийн турш засварлаж чадалгүй хадгалах эрсдэл үүсдэг онцлогтой.

Хөгжүүлэгчдэд юу өөрчлөгдөх вэ?

Хэрэв та олон нийтэд өргөн хэрэглэгддэг нээлттэй эхийн сан (library/framework) хөгжүүлдэг бол:

Баталгаажсан засваруудыг цаг алдалгүй авах: Ирж буй аюулгүй байдлын асуудлыг өөрөө гараараа debug хийж цаг алдахын оронд, загварын бэлтгэсэн PoC дээр ажиллуулан шалгаж, бэлэн patch-ийг хянаад нэгтгэх (merge) боломжтой болно.
Нийлүүлэлтийн сүлжээний (Supply Chain) аюулгүй байдал сайжрах: Нийт программ хангамжийн зах зээл дэх npm, PyPI, crates.io зэрэг сангуудад нуугдсан zero-day цоорхойнууд богино хугацаанд цэгцрэх бодит боломж нээгдэж байна.
AI зөвхөн код бичих биш, хамгаалах талбарт шилжиж байна: Өмнө нь Copilot, Cursor зэрэг хэрэгслүүдээр кодоо хурдан бичихэд анхаарч байсан бол одоо хамгаалалтын автоматжуулалт шинэ түвшинд гарч ирж байна.

AI-ийн хурдацтай хөгжил кибер ертөнцөд давуу талыг хэнд олгох вэ гэдэг асуулт хамгийн чухалд тооцогдож буй энэ үед Anthropic хамгаалагчдын талд бодит хүч нэмэх томоохон алхам хийлээ.

Эх сурвалж: Anthropic Official Announcement, Unite.AI, AI Weekly