Anthropic称Claude在25个开源项目中发现近500个安全问题，含一潜伏21年漏洞

美国人工智能公司Anthropic近日发布研究报告，称其使用Claude模型分析了25个主要开源项目（涵盖C、C++、Java、PHP和Python语言），共发现近500个安全问题。其中包括敏感代码在未认证情况下可访问、安全设置因配置冲突而失效，以及一个在代码中存在了21年未被发现的漏洞。

Anthropic在报告中提出，寻找单个漏洞是低效且无法保证安全的“西西弗斯式任务”，防御者应转向利用AI系统性地缩减软件攻击面。例如，在OpenSSH的案例研究中，Claude发现了一个允许未认证客户端访问4,500行实验性代码的配置缺陷，尽管该功能默认禁用。Anthropic向OpenSSH披露后，后者在版本10.6中修复了此问题，使约20%的代码不再能被未认证用户触达。

此次分析涉及超过500万行代码，Claude生成了包含17,000多个配置选项的清单，其中3,842个与安全相关。报告显示，所有11个旨在服务已认证用户的项目均存在不应可达的代码路径。Anthropic表示将把这些技术整合为可复用的Claude技能，并计划集成到其免费的开源安全扫描服务OSS-Scanner中。