Chainguard, AI əsaslı zəiflikləri aşkar etmək üçün Harness təqdim etdi

Harness, skanerlərdən sonra kod səhvlərini aşkarlayır

Chainguard çərşənbə günü Harness-i təqdim etdi, bu, AI əsaslı təhlükəsizlik aləti, aparıcı modellərdən, o cümlədən Anthropic-in məhdud Claude Mythos 5,1-dən istifadə edərək, tətbiq kodunda istismarə açıq olan zəiflikləri aşkar etmək və düzəltmək üçün nəzərdə tutulub ki, adi skanerlər burada itirirlər. Tərtibatçılar Harness-i Mythos-ə birbaşa giriş olmadan da işlədə bilərlər, amma Chainguard hansı modellərin aşkarlanması üçün istifadə olunduğunu açıqlamayıb. Şirkətin dediyinə görə, Harness artıq skan edilmiş kod bazalarında, o cümlədən kritik infrastrukturlarda ciddi səhvlər tapıb. Layihələr və düzəliş statusu dəqiqləşdirilməyib.

Workspaces və Checks agentlərə siyasət tətbiq edir

Harness buraxılışı Workspaces, Checks və genişləndirilmiş Libraries qoruma funksiyası ilə birgə verilir, bu da Chainguard-a konteynerlərə və asılılıqlara qoruma təmin etməklə yanaşı agent mühitlərinə və CI yoxlamalarına keçmə imkanı verir. Workspaces hər tərtibatçıya və kod agentəna apparat izolyasiyalı microVM təklif edir, şəbəkə siyasətləri ilə daxili sistemlərə girişi məhdudlaşdırır; etibarlaşmalar xaricdə saxlanılır. İmzalanmış jurnallar agentlərin fəaliyyətini audit üçün qeyd edir. Harness həmçinin Anthropic-in Claude Marketplace-də olacaq ki, komandalar mövcud böyük xərcli öhdəliklərindən istifadə edə bilsinlər.

Checks, kod agentlərinə inkişaf zamanı CI yoxlamalarını işə salmağa və saniyələr içində imzalanmış nəticələr almağa imkan verir. Agentlər pull request açılmadan testlər işə sala bilər, uğursuzluqları araşdıra bilər və kodu düzəldə bilər, bununla da CI növbələrindən qaçırlar. O, isti snapshot-lardan istifadə edir və fon üzərində lockfile dəyişiklikləri zamanı yeniləyir. Hər addım ayrıca apparat izolyasiyalı microVM-də icra olunur, bu, Chainguard OS paketləri ilə qurulub, o cümlədən FIPS uyğun alətlərlə. Runnerlər uzunmüddətli etibarlı saxlamır: host proxy çıxış sorğularında qısamüddətli etibarlar yerləşdirir, egress siyasətləri isə şəbəkə girişini məhdudlaşdırır və icazəsiz qoşulma cəhdi zamanı microVM-i sonlandırır. Uğurlu işə salmalar, merge gate-lərin təkrar işə salmadan təsdiq etməsi üçün mühit, test nəticələri və commit-lə əlaqəli imzalanmış attestasiya yaradır. Checks beta versiyasındadır.

Sorğu və Libraries-in genişləndirilməsi

Chainguard həmçinin Wakefield Research-in „The AI Exploit Gap“ sorğusunu nəşr etdi, bu sorğu doqquz bazarda 1 300 təhlükəsizlik meneceri ilə həyata keçirilindi. Yarımdan çoxu öz təşkilatlarının bəzən yüksək və ya kritik zəiflikləri düzəltmədən gözləməyən qaldığını söylədi. Bu göstərici 1 milyard dollar və daha çox gəliri olan şirkətlərdə 66 faiz, 250 milyon dollar az gəliri olan şirkətlərdə isə 27 faiz təşkil edir. Chainguard-in CISO Quincy Castro dedi ki, AI səhvləri dəqiqələr içində aşkarlayır və zincirlənir, düzəlişlər isə hələ də insan sürəti ilə həyata keçirilir.

Libraries, Go və .NET üçün təhlükəsiz paket endpoint-ləri əlavə edir, həmçinin JavaScript və Go üçün CVE düzəlişlərini. Java və Python dəstəyi AI-in köməyi ilə aşkarlanmış yeni zəifliklər, o cümlədən asılılıklarda olan və agentlərin layihəyə gətirə biləcəyi zəifliklər üzrə genişləndirilib. Dəyişikliklər Chainguard Repository-yə əsaslanır, açıq mənbə asılılıqları üçün siyasətlə nəzarət olunan endpoint-lər və Cursor ilə əməkdaşlığa, bu isə agentlərə paketləri Chainguard katalogu ilə həll etmək imkanı verir.

Mənbələr: The New Stack