Chainguard, Güvenlik Açıklarını Tespit Etmek İçin Harness'i Yayınladı

Harness, Kod Hatalarını Tarayıcıların Ardından Buluyor

Chainguard Çarşamba günü, uygulamaların kodundaki istismar edilebilir güvenlik açıklarını tespit etmek ve düzeltmek için önde gelen modelleri, aralarında Anthropic'in sınırlı Claude Mythos 5,1'i de kullanarak Harness adlı yapay zekaya dayalı bir güvenlik aracını tanıttı. Bunlar, geleneksel tarayıcıların atladığı güvenlik açklarını hedefliyor. Geliştiriciler, Harness'i Mythos'a doğrudan erişim olmadan da kullanabilir, ancak Chainguard hangi modellerin tespit için kullanıldığını açıklamadı. Şirkete göre Harness, taranmış kod tabanlarında, aralarında kritik altyapıda da olan ciddi hatalar buldu. Projeler ve düzeltme durumu belirtilmedi.

Workspaces ve Checks Ajanlara Politikayı Uygular

Harness yayını; Workspaces, Checks ve genişletilmiş Libraries korumasıyla birlikte geliyor, böylece Chainguard konteynerler ve bağımlılıkların ötesine geçerek ajan ortamları ve CI doğrulamasına yöneliyor. Workspaces, her geliştiriciye ve kodlama ajanına dahili sistemlere erişimi kısıtlayan ağ politikalarıyla donatılmış izole bir mikroVM sunuyor; kimlik bilgileri haricinde tutuluyor. İmzalı günlükler denetim için ajan eylemlerini kaydediyor. Harness ayrıca, Anthropic'in mali yükümlülüklerini takımların kullanabilmesi için Anthropic'in Claude Marketplace'de de yer alacak.

Checks, kodlama ajanlarının geliştirme sırasında CI kontrollerini çalıştırmasına ve saniyeler içinde imzalı sonuçlar almasına olanak tanıyor. Ajanlar testleri çalıştırabilir, başarısızlıkları inceleyebilir ve kodu pull request açılmadan önce düzeltebilir, böylece CI kuyruklarını önler. Çalışırken kurulu bağımlılıklarla anlık görüntüler kullanıyor ve arka planda lockfile değişikliklerini güncelliyor. Her adım, Chainguard OS paketleriyle kurulmuş FIPS uyumlu araçlar içeren izole bir mikroVM'de yürütülüyor. Runner'lar kalıcı kimlik bilgileri saklamaz; ana bilgisayar vekili giden istekler için kısa ömürlü kimlik bilgileri oluşturur, çıkış politikaları ağ erişimini kısıtlar ve yetkisiz bağlantı denemelerinde mikroVM'i sonlandırır. Başarılı çalıştırmalar, ortam, test sonuçları ve commit ile ilişkilendirilmiş imzalı tasdikler oluşturuyor, böylece birleştirme kapıları yeniden çalıştırma gerektirmeden onaylayabiliyor. Checks beta sürümündedir.

Anket ve Libraries Genişlemesi

Chainguard ayrıca, dokuz pazarda 1.300 güvenlik yöneticisiyle yürütülen Wakefield Research anketi olan 'The AI Exploit Gap' raporunu da yayımladı. Katılımcıların yarısından fazlası, kuruluşlarının yüksek veya kritik açıkları düzeltmeden bilerek bıraktığını belirtti. Bu oran 1 milyar dolar ve üzeri gelirli şirketlerde yüzde 66 iken, 250 milyon dolar altı gelirli olanlarda yüzde 27. Chainguard CISO'su Quincy Castro, AI'in açıkları dakikalar içinde bulabildiğini, zincirleri oluşturabildiğini, düzeltmelerin ise hala insan hızında ilerlediğini söyledi.

Libraries; Go ve .NET için güvenli paket uç noktaları, ayrıca JavaScript ve Go için CVE yamaları ekliyor. Java ve Python desteği, AI ile keşfedilen yeni açıklar da dahil olmak üzere bağımlılıklardaki zafiyetler ve ajanların projeye getirebileceği sorunlarla genişletiliyor. Değişiklikler, açık kaynak bağımlılıkları için politika tabanlı uç nokta düzenlemesi sunan Chainguard Repository'ye ve ajanların paketleri Chainguard kataloguyla çözümlemesine olanak tanıyan Cursor iş birliğine dayanıyor.

Kaynaklar: The New Stack