Anthropic'ın Glasswing projesi 7 ayda bakım geliştiricilerini yordu

Anthropic'ın açık kaynak yazılımlardaki güvenlik açıklarını bulmayı hedefleyen Glasswing projesi yedi ayını doldurdu. Projeyi baştan beri izleyen bir geliştirici, sonuçların şirketin ilk duyurudaki iddialarını karşılamadığını söylüyor. Habere göre Anthropic, Nisan ayında binlerce yüksek ve kritik seviyede açık bulduğunu açıklamış, ancak bunu destekleyen çok az kanıt sunmuştu.

Takipçi, kendi açtığı açık kaynak depoda Anthropic'e atfedilen her açığı CVE kayıtları, GHSA bildirimleri ve çekirdek yamaları üzerinden tek tek saymış. Yedi ayın sonunda toplam 442 CVE tespit edilmiş. Bu, ayda ortalama 63 açık anlamına geliyor ve yıl içinde yayımlanan 93 binden fazla CVE'nin yalnızca yüzde 0,5'ine denk geliyor. İlginç olan, Anthropic'ın kendi kayıt defterinin bundan daha azını, 217 düzeltilmiş açığı listelememesi.

Asıl tartışma ise bu açıkların ne kadar tehlikeli olduğunda. Makalede belirtildiğine göre 442 açıktan yalnızca ikisi gerçek dünyada saldırılarda kullanılmış. Anthropic'ın kayıt defterindeki manzara da karışık: 37 bin 966 bulgunun sadece 217'si düzeltilmiş olarak işaretli, 1.654'ü ise kopya. Kopya sayısının düzeltilen açıklardan 7,5 kat fazla olması, bulguların uzun süre beklediğini ve başkaları tarafından önce bulunduğunu gösteriyor.

Anthropic ekim ayında yayımladığı bir yazıda, her bulguyu insan eliyle doğrulamanın ölçeklenmediğini kabul etmiş. Şirket, 29 binden fazla aday açık bulduğunu ama yalnızca 6 binini elle incelediğini, doğrulama kapasitesinin darboğaz olduğunu söylemiş. Bu tablo, yapay zekanın güvenlik açığı bulmada işe yaradığını ama tek başına yeterli olmadığını gösteriyor.