Нээлттэй эх код руу AI-ын хамгаалалтын арми орлоо: Anthropic 0-day илрүүлэгч “OSS Scanner”-ийг зарлав

Сүүлийн жилүүдэд Open Source ертөнцөд гарсан Log4j, XZ Utils зэрэг халдлагууд орчин үеийн дижитал дэд бүтэц хэчнээн эмзэг суурь дээр тогтож буйг тод харуулсан билээ. Хамгаалагч тал хэдэн сая мөр кодыг шалгаж амжихгүй байхад халдагчид AI ашиглан 0-day цоорхойнуудыг асар хурдтай хайж олох эрсдэл бодитоор нүүрлээд байна.

Энэхүү тэгш бус байдлыг хамгаалагчдын талд эргүүлэх зорилгоор Anthropic өөрийн "Cyber Mission" санаачилгын хүрээнд нээлттэй эхийн төслүүдэд зориулсан OSS Scanner үйлчилгээг албан ёсоор дэлгэлээ. Хөгжүүлэгчид өөрсдийн сан, репозиторыг бүртгүүлснээр Claude-ийн тэргүүлэх түвшний reasoning загваруудаар кодынхоо гүнд үнэ төлбөргүй аудит хийлгэх боломжтой болж байна.

"OSS Scanner" хэрхэн ажилладаг вэ?

OSS Scanner нь Google-ийн алдарт OSS-Fuzz төсөлтэй төстэй зарчмаар ажилладаг боловч статистик болон динамик шинжилгээний оронд фронтиер LLM агент дээр суурилснаараа ялгаатай. Шалгах процесс дараах дарааллаар явагдана:

1. Тусгаарлагдсан виртуаль орчин бэлтгэх: Систем бүртгүүлсэн төслийн эх кодыг сүлжээний хандалт бүхий тусгаарлагдсан VM (Virtual Machine) дотор татаж, Dockerfile-ийн дагуу хамаарлуудыг (dependencies) нь суулгаж compile хийнэ.
2. Интернэт холболтыг таслах: Төсөл амжилттай угсрагдсаны дараа тухайн орчны интернэт хандалтыг бүрэн хаана. Энэ нь аюулгүй байдлын аудит хийж буй AI агент гаднын сервертэй холбогдох, нууц өгөгдөл алдагдахаас сэргийлсэн хамгаалалт юм.
3. Гүнзгий логик шинжилгээ ба шалгалт: Claude Mythos болон бусад хүчирхэг модел агентууд код доторх логик алдаа, memory leak, race condition болон архитектурын цоорхойнуудыг хайна. Зөвхөн сэжиглээд зогсохгүй, тухайн алдааг бодитоор өдөөх reproduction скриптийг (PoC) сэндбокс дотор ажиллуулж шалгадаг.
4. Хэрэгжихүйц тайлан ба автомат patch: Хэрэв цоорхой батлагдвал тайланг тухайн төслийн үндсэн хариуцагч нарын (core maintainers) и-мэйл рүү илгээнэ. Тайланд алдааны тайлбар, дахин давтах алхмууд болон уг цоорхойг засах кодын бэлэн patch багтдаг.

Яагаад хүний шалгалтгүй (Zero-Human-Triage) горим сонгов?

Anthropic-ийн өмнө нь хэрэгжүүлсэн "Project Glasswing" судалгааны явцад Claude загвар томоохон үйлдлийн систем, хөтчүүдээс (тухайлбал Firefox-ийн 22 эмзэг байдал) нийт 29,000 гаруй сэжигтэй цоорхой илрүүлж байжээ.

Гэвч тэдгээрийг хүнээр шалгуулан Coordinated Vulnerability Disclosure (CVD) процессоор дамжуулахад хүний нөөцийн ноцтой гацаа үүссэн байна. 6,000 гаруй алдааг гар аргаар хянаж нийтлэхэд асар их цаг хугацаа шаардагдаж байв.

Тиймээс OSS Scanner нь "Opt-in Fast Track" зарчмыг сонгосон байна. Өөрөөр хэлбэл, тайланг хүний гараар шүүлгүйгээр шууд төслийн багт хүргэх тул маш өндөр давтамжтайгаар, шинэ commit болон хувилбар гарах бүрт репозиторыг бүхэлд нь шалгах боломж бүрдэж байна.

Төслөө хэрхэн хамруулах вэ?

OSS Scanner одоогоор дэд бүтэц болон бусад сангуудад өргөн ашиглагддаг, remote attack-д өртөх магадлалтай нээлттэй эхийн төслүүдэд нээлттэй. Төслийн maintainer-ууд дараах алхмаар хүсэлт илгээнэ:

1. Anthropic-ийн албан ёсны OSS Scanner GitHub репозиторт Pull Request илгээх.
2. projects/<project_name>/project.yaml тохиргооны файл үүсгэн төслийн хаяг, тайлан хүлээж авах и-мэйл, PGP түлхүүр (нууцлалтайгаар тайлан авах бол) болон сэндбоксод төслийг build хийх Dockerfile-ийн замыг зааж өгөх.

# Жишээ project.yaml тохиргоо
project_name: "my-critical-library"
git_url: "https://github.com/my-org/my-critical-library.git"
primary_contact: "security@myproject.org"
dockerfile_path: "ci/scanner.Dockerfile"
pgp_key_path: "security-key.asc"

Хөгжүүлэгчдийн анхаарах зүйлс

Энэхүү хэрэгсэл нь нээлттэй эхийн багуудад супер хүч нэмж байгаа хэдий ч хоёр талтай:

• False positive-тай ажиллах чадвар: Хүний шүүлтүүргүй тайлан илгээгдэх тул төслийн баг цөөн тооны хуурамч анхааруулга хүлээн авах магадлалтай. Гэхдээ reproducer script дагалдах тул шалгахад бага хугацаа орно.
• Defense-in-Depth: AI нь зөвхөн код бичих биш, харин бүхэл бүтэн ecosystem-ийг кибер дайралтаас хамгаалах түвшинд очсоныг энэхүү төсөл харуулж байна.

Хэрэв та олон нийтэд нээлттэй, бусад системүүдийн гол хамаарал болсон номын сан эсвэл backend фрэймворк хөгжүүлдэг бол OSS Scanner-ийг CI/CD болон хамгаалалтын процестоо нэвтрүүлэх цаг иржээ.

Эх сурвалж: Anthropic Engineering & Cybersecurity Blog (Introducing OSS Scanner), Axios Tech