Anthropic: w 94 przypadkach ustawienia open source po cichu wyłączały zabezpieczenia

Zespół Frontier Red Team firmy Anthropic sprawdził z pomocą modelu Claude 25 projektów open source i zgłosił 493 problemy. W 94 przypadkach połączenie ustawień po cichu wyłączało zabezpieczenie, bez błędu i bez ostrzeżenia. Claude znalazł łącznie 162 kombinacje ustawień ważnych dla bezpieczeństwa, które programy przyjmowały bez komunikatu i bez opisu w dokumentacji. W czterech niezależnych projektach reguły dostępu oparte na nazwie hosta zależały od osobnego ustawienia odwrotnych zapytań DNS. Po ich wyłączeniu serwer porównywał nazwę hosta z adresem IP klienta, więc reguły blokujące nie działały i przepuszczały połączenia, które administrator chciał zablokować.

Kogo dotyczy

Badanie objęło 25 projektów open source, materiał nie podaje ich nazw. Każdy z 11 projektów, które miały udostępniać funkcje tylko zalogowanym użytkownikom, zawierał kod osiągalny przed uwierzytelnieniem. Według Anthropic te znaleziska same w sobie nie dawały się od razu wykorzystać, ale poszerzały powierzchnię ataku.