Безопасность 23 октября 2026, 15:00 МСК

Claude нашёл почти 500 угроз в 25 проектах с открытым кодом, в том числе 21-летнюю

Инженеры Anthropic с помощью Claude проанализировали 25 проектов с открытым кодом и выявили почти 500 проблем безопасности, одна из которых оставалась незамеченной 21 год.

Исследование охватило проекты на C, C++, Java, PHP и Python общим объёмом более 5 млн строк кода. В Anthropic сочли поиск отдельных уязвимостей «сизифовым трудом» и сделали акцент на сокращении поверхности атаки: Claude составил список из более чем 17 000 параметров конфигурации, 3842 из которых влияют на безопасность.

В проектах нашли 93 поверхности атаки, доступные до аутентификации в конфигурациях по умолчанию, 37 случаев выполнения кода до аутентификации и 61 комбинацию настроек, ослабляющую защиту. Ещё для 162 комбинаций настроек в документации не описано ожидаемое поведение. Одна из ошибок оставалась незамеченной более двух десятилетий: одна настройка требовала подтверждения личности сертификатами, а другая полностью отключала проверку, хотя должна была лишь отложить её.

В OpenSSH демон мог обращаться к 4500 строкам экспериментального кода постквантовой цифровой подписи до проверки конфигурации сервера, хотя сам алгоритм по умолчанию был отключён. После сообщения Anthropic проблему устранили в версии 10.6, и около 20 % кода стали недоступны неавторизованным пользователям.

Методы исследования Anthropic объединила в инструмент для Claude, который вскоре интегрируют в бесплатный сервис OSS-Scanner для проверки проектов с открытым кодом.

• Почти 500 угроз в 25 проектах, более 5 млн строк кода
• 93 поверхности атаки до аутентификации в конфигурациях по умолчанию
• OpenSSH исправил проблему в версии 10.6