Компания VulnCheck 9 ноября опубликовала оценку семи месяцев работы программы Anthropic Glasswing. По её подсчётам, в обновлении реестра от 2 ноября значились 37 966 находок, из которых публичными стали 7349, или 19,4%. Статус исправленных получили 217 записей. Эти показатели описывают опубликованную отчётность и не означают, что все остальные находки — подтверждённые незакрытые уязвимости
С сентября общее число находок увеличилось на 11 813, а записей со статусом исправления — на 15, отмечает автор анализа. Он также отследил 442 уязвимости с идентификаторами CVE, связанные с работой Anthropic. Только для двух из них компания выявила эксплуатацию в реальных атаках. Отсутствие сведений об атаках само по себе не доказывает безопасность остальных ошибок
Отдельный пример — проверка отчётов для curl. По данным VulnCheck, среди 34 опубликованных на момент анализа сообщений разработчики отклонили 19 как не являющиеся уязвимостями, подтвердили шесть с низкой опасностью, ещё девять ожидали оценки. Этот результат относится к конкретной партии и не позволяет определить точность всей программы
Сама Anthropic при запуске добровольного сервиса OSS Scanner признала, что проверка находок ограничена числом специалистов. Сканер выдаёт отчёты без предварительной проверки человеком; компания предупреждает о возможных ошибках. При наличии он прикладывает и предлагаемый патч. При этом прежний порядок передачи проверенных специалистами сообщений сохраняется, в том числе для проектов с ограниченными ресурсами
Как оценить качество всей программы, если большая часть находок ещё не раскрыта? Публичная выборка оставляет этот вопрос открытым. А даже готовый патч требует проверки разработчиком: ускорение поиска ошибок не устраняет затраты на подтверждение проблемы и безопасное внесение исправления
Первоисточник — VulnCheck
Сообщите редакции. Существенные исправления мы отмечаем в материале