报价宝综合消息安全创企Chainguard上线AI漏洞挖掘服务
软件供应链安全公司Chainguard在伦敦Assemble大会上发布了一系列新品，把前沿AI模型直接搬进了漏洞挖掘流程。核心产品Harness使用Anthropic的Claude Mythos 5.1等前沿模型，为客户的应用代码查找真实可利用的漏洞；同期推出的还有两款用于保护AI编程代理的产品，以及对开源依赖库服务的扩展。Harness的思路与传统静态扫描器不同：静态扫描容易漏掉那些只在程序运行时才暴露的逻辑缺陷。Chainguard表示，前沿模型的漏洞挖掘能力此前主要掌握在少数从事防御性安全工作的团队手里，普通企业很难直接用上。客户通过GitHub应用接入代码仓库后，Harness会按正式发布的方式编译应用，把构建产物启动在一台与外网隔离的虚拟机里，再让前沿模型像攻击者一样对这个运行中的副本发起探测。只有当漏洞在多次全新环境中都能复现时，才会被报告给客户。Chainguard联合创始人兼CEO洛伦茨（Dan Lorenc）的说法相当自信：「每次我们把Harness指向代码，它都能发现严重的、可利用的漏洞，包括那些被反复扫描过多次的软件，以及支撑关键基础设施运行的代码。」目前该服务由Chainguard自己的员工替客户运行：扫自家开源组件，产出打过补丁的构建版本；扫客户代码，则交付包含严重程度、复现步骤和修复建议的报告。开源项目中发现的问题会通过Chainguard今年6月牵头成立的Athena披露联盟上报给上游维护者。值得注意的是，Anthropic也在同步销售这项服务。Harness已上架今年3月上线的Claude市场，企业还可以把现有Anthropic采购协议中的一部分额度转用于购买。Anthropic商业网络安全负责人乌尔塔多（Daniela Hurtado）表示，像Mythos 5.1这样的模型「如何部署，与能力本身同样重要」。另两款产品瞄准的是AI编程代理写代码的阶段。随着越来越多团队让代理以与开发者相同的权限执行长时间迁移任务，云密钥和生产系统都暴露在风险中。其中Workspaces为每个任务提供一台完全用Chainguard系统包构建的远程虚拟机：本地保留编辑器和Git工作流，执行放到远端；真实凭据不进入虚拟机，需要落盘的工具拿到的是加密的短效替身，企业还可以启用出站策略，屏蔽任何未经批准的连接。洛伦茨形容这是一台「里面没有值得偷的东西」的隔离机器。Checks则解决另一头的拥堵：代理推送代码的频率远超持续集成系统的设计负载。它的每次运行都从装好依赖的热快照启动，代理在测试期间被挂起，失败日志直接回灌进其上下文继续修。通过运行会生成绑定环境、测试结果与提交的签名证明，合并门禁可凭证明直接合并，无需重跑整个测试套件。分析机构RedMonk联合创始人高文诺（James Governor）认为，现有持续集成平台「正在承受代理化开发带来的负载激增」。澳大利亚支付基础设施公司Cuscal是两款新品的早期设计伙伴。
编译自 SiliconANGLE，原标题："Chainguard puts Claude Mythos on flaw hunting, secures coding agents and widens Libraries"
