Chainguard-ը թողարկեց Harness AI-ի վրա հիմնված խոցելի վրիպների հայտնաբերման համար

Harness-ը կոդի վրիպները հայտնաբերում է սկաներներից հետո

Chainguard-ը չորեքշաբաթին ստեղծեց Harness՝ AI-ի վրա հիմնված անվտանգության գործիք, որը օգտագործում է առաջատար մոդելներ, այդ թվում՝ Anthropic-ի սահմանափակ Claude Mythos 5.1-ը, հավելվածի կոդում շահող խոցելի վրիպները գտնելու և ուղղելու համար, որոնք սովորական սկաներները բաց են թողնում: Մշակողները կարող են օգտագործել Harness-ը առանց Mythos-ում անմիջական մուտք ունենալու, թեև Chainguard-ը չի բացահայտել, թե որ մոդելներն են պատասխանատու հայտնաբերմանը: Ըստ ընկերության, Harness-ը լուրջ վրիպներ է գտել արդեն սկանավորված կոդբազաներում, այդ թվում՝ կրիտիկական ենթակառուցվածքում: Նախագծերի և ուղղումների կարգավիճակը չի նշվել:

Workspaces-ը և Checks-ը ագենտներին ենթարկում են քաղաքականությանը

Harness-ի թողարկումը կապված է Workspaces-ի, Checks-ի և ընդլայնված Libraries պաշտպանության հետ, ինչպես Chainguard-ը փորձում է կոնտեյներների և կախվածությունների համար անցնել գետների միջավայրի և CI վերիֆիկացիայի: Workspaces-ը յուրաքանչյուր մշակողի և կոդավորման ագենտի համար ապահովում է սարկային պատկերով իզոլյացված microVM, ցանցային քաղաքականություններով, որոնք սահմանափակում են մուտքը ներքին համակարգեր; վստահությունները պահվում են դուրս: Ստորագրված ամսագրերը փաստաթղթավորում են ագենտների գործողությունները աուդիտի համար: Harness-ը նաև կլինի Anthropic-ի Claude Marketplace-ում, որպեսզի թիմերը կարողանան օգտագործել առկա Anthropic-ի վճարովի պարտավորությունները:

Checks-ը հնարավորություն է տալիս կոդավորման ագենտներին մշակման ընթացքում գործարկել CI ստուգումներ և վայրկյանների ընթացքում ստանալ ստորագրված արդյունքներ: Ագենտները կարող են թեստեր աշխատեցնել, ձախողումները վերլուծել և կոդը ուղղել pull request-ը բացելուց առաջ, դրանով իսկ խուսափելով CI հերթերից: Այն օգտագործում է ջերմ սնեփշոթներ արդեն տեղադրված կախվածություններով և հետին պլանում թարմացնում է lockfile-ի փոփոխությունների դեպքում: Յուրաքանչյուր քայլ անցնում է առանձին սարկային պատկերով իզոլյացված microVM-ում, որը հավաքված է Chainguard OS-ի փաետերով, այդ թվում՝ FIPS-ին համապատասխան գործիքներով: Ռաններները երկարաժամկետ վստահություններ չեն պահում: Հոսթի պրոքսին ելքի հարցումներում կարճաժամկետ վստահություններ է ներդնում, egress քաղաքականությունները սահմանափակում են ցանցային մուտքը և անլիցենզիոն կապի փորձի դեպքում կոտրում են microVM-ը: Հաջողված գործարկումները ստեղծում են ստորագրված վկայագրեր, որոնք կապում են միջավայրը, թեստի արդյունքները և commit-ը, որպեսզի merge gate-ները հաստատեն առանց նոր գործարկման: Checks-ը բեթա տարբերակում է:

Հարցումը և Libraries-ի ընդլայնումը

Chainguard-ը նաև հրապարակեց «The AI Exploit Gap»՝ Wakefield Research-ի հարցումը, որն իրականացվել է 9 շուկայում 1 300 անվտանգության ղեկավարների հետ: Կեսից ավելին հայտնեց, որ իրենց կազմակերպությունները երբեմն գիտակցված կերպով թողնում են բարձր կամ կրիտիկական վրիպները չուղղված: Ցուցիչը 66 տոկսով էր 1 միլիարդ դոլարից ավելի եկամուտ ունեցող ընկերություններում, 27 տոկսով՝ 250 միլիոն դոլարից պակաս եկամուտ ունեցողներում: Chainguard-ի CISO-ն Quincy Castro-ն ասաց, որ AI-ն վրիպներ է գտնում րոպեների ընթացքում և կախվածություններ ստեղծում, իսկ ուղղումները դեռ անցնում են մարդկային արագությամբ:

Libraries-ը ավելացնում է անվտանգ փաետերի վերջակետեր Go-ի և .NET-ի համար, ինչպես նաև CVE-ի ուղղումը JavaScript-ի և Go-ի համար: Java-ի և Python-ի աջակցությունն ընդլայնվում է AI-ի միջոցով հայտնաբերված նոր վրիպների վրա, այդ թվում՝ կախվածություններում առկա վրիպների վրա, որոնք ագենտները կարող են ներմուծել նախագծում: Փոփոխությունները հիմնված են Chainguard Repository-ի վրա, բաց կոդի կախվածությունների համար քաղաքականությամբ կառավարվող վերջակետի վրա, և Cursor-ի հետ գործընկերության վրա, որը ագենտներին հնարավորություն է տալիս լուծումներ ընտրել փաետերի Chainguard-ի կատալոգից:

Նյութերի աղբյուրներ: The New Stack