Chainguard випустив Harness для виявлення вразливостей на основі AI

Harness знаходить помилки коду після сканерів

Chainguard у середу представив Harness, інструмент безпеки на основі AI, який використовує провідні моделі, включаючи обмежену Claude Mythos 5.1 від Anthropic, для пошуку та виправлення експлуатованих вразливостей у коді додатків, які звичайні сканери пропускають. Розробники можуть використовувати Harness без прямого доступу до Mythos, хоча Chainguard не розкрила, які моделі обслуговують виявлення. За словами компанії, Harness вже знайшов серйозні помилки в просканованих кодових базах, включаючи критичну інфраструктуру. Проєкти та статус виправлення не уточнено.

Workspaces та Checks підпорядковують агентів політиці

Випуск Harness пов'язаний з Workspaces, Checks та розширеним захистом Libraries, завдяки чому Chainguard переходить від контейнерів та залежностей до середовищ агентів і верифікації CI. Workspaces надає кожному розробнику та агенту кодування апаратно ізольовану microVM з мережевими політиками, які обмежують доступ до внутрішніх систем; облікові дані зберігаються зовні. Підписані журнали фіксують дії агентів для аудиту. Harness також буде в Claude Marketplace від Anthropic, щоб команди могли використовувати наявні зобов'язання Anthropic з оплатою.

Checks дозволяє агентам кодування запускати перевірки CI під час розробки та отримувати підписані результати за секунди. Агенти можуть запускати тести, переглядати невдачі та виправляти код до відкриття pull request, уникаючи черг CI. Він використовує теплі знімки з вже встановленими залежностями та у фоновому режимі оновлює зміни lockfile. Кожен крок виконується в окремій апаратно ізольованій microVM, зібраній з пакетів Chainguard OS, включаючи інструменти, сумісні з FIPS. Руни не зберігають довгострокових облікових даних: проксі хоста вставляє короткострокові облікові дані у вихідні запити, політики egress обмежують мережевий доступ, а при спробі неавторизованого з'єднання microVM завершується. Успішні запуски створюють підписані атестації, які пов'язують середовище, результати тестів та commit, щоб merge gate підтвердили без повторного запуску. Checks у бета-версії.

Опитування та розширення Libraries

Chainguard також опублікував дослідження "The AI Exploit Gap" від Wakefield Research, яке проведено з опитуванням 1 300 керівників безпеки на дев'яти ринках. Більше половини заявили, що їхні організації іноді свідомо залишають високі або критичні вразливості невиправленими. Цей показник склав 66 відсотків у компаніях з доходом понад 1 мільярд доларів і 27 відсотків у тих, що мають дохід менше 250 мільйонів доларів. CISO Chainguard Quincy Castro сказав, що AI знаходить помилки за хвилини, а виправлення все ще відбуваються з людською швидкістю.

Libraries додає безпечні кінцеві точки пакетів для Go та .NET, а також виправлення CVE для JavaScript та Go. Підтримка Java та Python розширюється на нові вразливості, виявлені за допомогою AI, включаючи помилки в залежностях, які агенти можуть внести в проєкт. Зміни базуються на Chainguard Repository, кінцевій точці з політикою для залежностей з відкритим кодом, та партнерстві з Cursor, яке дозволяє агентам вирішувати пакети з каталогу Chainguard.

Джерела: The New Stack