Claude扫500万行代码 报出493个安全问题
报价宝综合消息Claude扫500万行代码 报出493个安全问题
开源代码里的隐患有多难找？Anthropic 给出了一个新的答案。该公司最新发布的安全研究显示，让 Claude 对 25 个开源项目、超过 500 万行 C、C++、Java、PHP 和 Python 代码做一轮“攻击面”分析，共发现了 493 个此前未被留意的安全问题。
这项研究的思路不是传统的“找漏洞、打补丁”。Anthropic 安全团队认为，与其逐个修复未知漏洞，不如压缩代码的“攻击面”——把敏感功能挪到攻击者更难触达的位置：从免认证挪到认证之后，从“零点击”挪到“单次点击”，从默认开启改为显式选择加入。漏洞还在，但更难被利用，严重性随之下降。
具体做法上，Claude 先为这批项目建立了超过 1.7 万个配置选项的清单，其中 3842 个与安全相关。研究聚焦三类问题：默认配置下可被触达但本不该暴露的功能；两个单独看合理、组合起来却会出问题的配置——比如悄悄关闭某个安全控制；以及在本该有认证或协议状态门禁之前就运行的敏感代码。
Anthropic 强调，这类分析过去需要资深安全工程师耗时数月，现在 Claude 可以“经济地”完成。值得注意的是，本周 PHP 社区刚刚紧急发布了两个严重的未授权远程代码执行漏洞补丁，OpenAI 称其中之一由其模型发现。各大 AI 实验室正竞相证明，自己的模型能承担真实世界的安全审计工作。
不过研究也指出，攻击面缩减并不能替代修复——它只是让漏洞更难被够到。对维护着数百万行代码、配置组合爆炸的开源项目来说，这种“先把门关上”的做法，或许是目前性价比最高的防守。
编译自 Anthropic 官方博客，原标题：“Using Claude to reduce the attack surface of code”
