Chainguard השיקה את Harness, כלי מבוסס AI לגילוי פגיעויות

Harness מאתר פגיעויות בקוד לאחר סריקות

Chainguard השיקה ביום חמישי את Harness, כלי אבטחה מבוסס AI המשתמש במודלים מתקדמים, בהם Claude Mythos 5.1 המוגבל של Anthropic, כדי לאתר ולתקן פגיעויות ניתנות לניצול בקוד האפליקציה, שסורקים רגילים מפספסים. מפתחים יכולים להשתמש ב‑Harness ללא גישה ישירה ל‑Mythos, אך Chainguard לא חשפה אילו מודלים משמשים לזיהוי. לדברי החברה, Harness גילתה פגיעויות חמורות כבר בבסיסי קוד שנסרקו, כולל בתשתיות קריטיות. הפרויקטים וסטטוס התיקונים לא פורטו.

Workspaces ו‑Checks כופים מדיניות על סוכנים

ההשקה של Harness מקשרת את Workspaces, Checks ואת ההרחבה של הגנת Libraries, ובכך Chainguard עוברת ממכולות ותלויות לסביבות סוכנים ואימות CI. Workspaces מעניק לכל מפתח ולסוכני קידוד microVM מבודד חומרתית, עם מדיניות רשת המגבילה גישה למערכות פנימיות; האישורים נשמרים מחוץ לסביבה. יומנים חתומים מתעדים את פעולות הסוכנים לצורך ביקורת. Harness יהיה זמין גם ב‑Claude Marketplace של Anthropic, כדי שצוותים יוכלו לנצל את התחייבויות ההוצאה הקיימות שלהם ל‑Anthropic.

Checks מאפשר לסוכני קידוד להריץ בדיקות CI במהלך הפיתוח ולקבל תוצאות חתומות בתוך שניות. הסוכנים יכולים להריץ בדיקות, לבחון כשלים ולתקן קוד לפני פתיחת pull request, ובכך להימנע מתורי CI. הוא משתמש בצילומי מצב חמים עם תלויות מותקנות מראש ומרענן את ה‑lockfile ברקע בעת שינויים. כל שלב רץ ב‑microVM מבודד חומרתית המבוסס על חבילות Chainguard OS, כולל כלים התואמים FIPS. ה‑Runners אינם שומרים אישורים ארוכי טווח: פרוקסי המארח מזריק אישורים זמניים בבקשות יוצאות, ומדיניות egress מגבילה גישה לרשת ומפסיקה את ה‑microVM בניסיון חיבור בלתי מורשה. הרצות מוצלחות יוצרות אישורים חתומים המקשרים את הסביבה, תוצאות הבדיקה וה‑commit, כדי ש‑merge gates יוכלו לאשר ללא הרצה חוזרת. Checks נמצא בגרסת בטא.

סקירה והרחבת Libraries

Chainguard פרסמה גם את "The AI Exploit Gap", סקר של Wakefield Research שנערך בקרב 1,300 מנהלי אבטחה בשווקים שונים. יותר ממחציתם אמרו כי ארגוניהם משאירים בכוונה פגיעויות גבוהות או קריטיות ללא תיקון. הנתון של 66% היה בחברות עם הכנסות של מיליארד דולר ומעלה, ו‑27% בחברות עם הכנסות נמוכות מ‑250 מיליון דולר. ה‑CISO של Chainguard, קווינסי קסטרו, אמר כי AI מאתר ומתקן פגיעויות תוך דקות, בעוד התיקונים עדיין מתבצעים בקצב אנושי.

Libraries מוסיפה נקודות קצה של חבילות מאובטחות עבור Go ו‑.NET, וכן תיקוני CVE עבור JavaScript ו‑Go. התמיכה ב‑Java וב‑Python מתרחבת בעזרת גילוי מבוסס AI של פגיעויות חדשות, כולל פגיעויות בתלויות שסוכנים עשויים להכניס לפרויקט. השינויים מבוססים על Chainguard Repository, נקודת קצה מוסדרת מדיניות עבור תלויות קוד פתוח, ועל שותפות עם Cursor, המאפשרת לסוכנים לפתור חבילות דרך הקטלוג של Chainguard.

מקורות: The New Stack