Chainguard-მა გამოუშვა Harness AI-ზე დაფუძნებული დაუცველობების აღმოჩენისთვის

Harness კოდის ხარვეზებს სკანერების შემდეგ პოულობს

Chainguard-მა ოთხშაბათს წარადგინა Harness, AI-ზე დაფუძნებული უსაფრთხოების ინსტრუმენტი, რომელიც წამყვან მოდელებს, მათ შორის Anthropic-ის შეზღუდულ Claude Mythos 5,1-ს, იყენებს აპლიკაციის კოდში ექსპლუატირებადი დაუცველობების მოსაძებნად და გამოსასწორებლად, რომლებსაც ჩვეულებრივი სკანერები გამოტოვებენ. დეველოპერებს Harness-ის გამოყენება Mythos-ზე პირდაპირი წვდომის გარეშეც შეუძლიათ, თუმცა Chainguard-მა არ გაამჟღავნა, რომელი მოდელები ემსახურებიან აღმოჩენას. კომპანიის თქმით, Harness-მა სერიოზული ხარვეზები იპოვა უკვე სკანირებულ კოდბაზებში, მათ შორის კრიტიკულ ინფრასტრუქტურაში. პროექტები და გამოსწორების სტატუსი არ დაკონკრეტებულა.

Workspaces და Checks აგენტებს პოლიტიკას უქვემდებარებს

გამოშვება Harness-ს აკავშირებს Workspaces-ს, Checks-ს და გაფართოებულ Libraries-ის დაცვას, რითაც Chainguard სცდება კონტეინერებსა და დამოკიდებულებებს და გადადის აგენტების გარემოებსა და CI-ის ვერიფიკაციაზე. Workspaces-ი ყოველ დეველოპერსა და კოდირების აგენტს აძლევს აპარატურულად იზოლირებულ microVM-ს, ქსელური პოლიტიკებით, რომლებიც შიდა სისტემებზე წვდომას ზღუდავს; რწმუნებები გარეთ ინახება. ხელმოწერილი ჟურნალები აფიქსირებენ აგენტების ქმედებებს აუდიტისთვის. Harness-ი იქნება Anthropic-ის Claude Marketplace-შიც, რომ გუნდებმა არსებული Anthropic-ის ხარჯვითი ვალდებულებები გამოიყენონ.

Checks-ი საშუალებას აძლევს კოდირების აგენტებს, განვითარების დროს გაუშვან CI-ის შემოწმებები და წამებში მიიღონ ხელმოწერილი შედეგები. აგენტებს შეუძლიათ ტესტების გაშვება, წარუმატებლობების დათვალიერება და კოდის შესწორება pull request-ის გახსნამდე, რითაც CI-ის რიგებს თავს არიდებენ. ის იყენებს თბილ სნეპშოტებს უკვე დაყენებული დამოკიდებულებებით და ფონზე აახლებს lockfile-ის ცვლილებისას. ყოველი ნაბიჯი ცალკე აპარატურულად იზოლირებულ microVM-ში მიდის, რომელიც Chainguard OS-ის პაკეტებითაა აწყობილი, მათ შორის FIPS-თან შესაბამისი ინსტრუმენტებით. Runner-ები გრძელვადიან რწმუნებებს არ ინახავენ: ჰოსტის პროქსი გამავალ მოთხოვნებში ხანმოკლე რწმუნებებს ჩასვამს, egress პოლიტიკები კი ქსელურ წვდომას ზღუდავს და არაავტორიზებული კავშირის ცდისას microVM-ს წყვეტს. წარმატებული გაშვებები ქმნიან ხელმოწერილ ატესტაციებს, რომლებიც გარემოს, ტესტის შედეგებსა და commit-ს უკავშირდება, რათა merge gate-ებმა ხელახლა გაშვების გარეშე დაადასტურონ. Checks-ი ბეტა ვერსიაშია.

გამოკითხვა და Libraries-ის გაფართოება

Chainguard-მა ასევე გამოსცა „The AI Exploit Gap“, Wakefield Research-ის გამოკითხვა, რომელიც ცხრა ბაზარზე 1 300 უსაფრთხოების ხელმძღვანელის დაკვეთით ჩატარდა. ნახევარზე მეტმა თქვა, რომ მათი ორგანიზაციები ხანდახან შეგნებულად ტოვებენ მაღალ ან კრიტიკულ დაუცველობებს გაუსწორებელად. მაჩვენებელი 66 პროცენტი იყო 1 მილიარდ დოლარსა და მეტ შემოსავლის მქონე კომპანიებში, 27 პროცენტი კი 250 მილიონ დოლარზე ნაკლები შემოსავლის მქონეებში. Chainguard-ის CISO-მ Quincy Castro-მ თქვა, რომ AI ხარვეზებს წუთებში პოულობს და აჯაჭვებს, გამოსწორებები კი კვლავ ადამიანური სისწრაფით მიდის.

Libraries-ი ამატებს უსაფრთხო პაკეტების ენდპოინტებს Go-სა და .NET-ისთვის, ასევე CVE-ის გამოსწორებას JavaScript-ისა და Go-სთვის. Java-სა და Python-ის მხარდაჭერა გაფართოვდება AI-ის დახმარებით აღმოჩენილ ახალ დაუცველობებზე, მათ შორის დამოკიდებულებებში არსებულ ხარვეზებზე, რომლებიც აგენტებმა შეიძლება პროექტში შემოიტანეს. ცვლილებები ეფუძნება Chainguard Repository-ს, ღია კოდის დამოკიდებულებებისთვის პოლიტიკით რეგულირებულ ენდპოინტს, და Cursor-თან პარტნიორობას, რომელიც აგენტებს პაკეტების Chainguard-ის კატალოგით გადაწყვეტის საშუალებას აძლევს.

წყაროები: The New Stack