暗号通貨企業がAnthropic AIにセキュリティの欠陥を見つけるために依存

暗号通貨企業であるEthereum開発者NethermindとBitcoinウォレットZEUSは、攻撃者が悪用する前にソフトウェアの脆弱性を特定するためにClaude Mythosを使用するAnthropicの新しいAIセキュリティスキャナーへのアクセスを申請しました。

• Ethereum開発者NethermindとBitcoinウォレットZEUSは、Anthropicの無料セキュリティスキャンサービスへのアクセスをリクエストしました。
• Anthropicは、スキャナーがClaude Mythosを使用し、自動化された脆弱性レポートを人間のレビューなしで送信すると述べています。
• Nethermindはリポジトリのスキャンをリクエストし、ZEUSは支払い、秘密鍵、Lightning接続をカバーするチェックを求めました。
• Anthropicは29,000件の候補脆弱性を発見したと報告しており、そのうち約6,000件がこれまでに内部で手動レビューされています。

Anthropicは10月8日に無料のOSSスキャナーを立ち上げ、適格なオープンソースプロジェクトが自動化されたレポートを受け取り、可能なセキュリティの弱点を特定できるようにしました。10月9日に提出された申請は、暗号通貨開発者がトランザクション、秘密鍵、ブロックチェーンインフラストラクチャを扱うコードを調べるために高度なAIツールを使用することに対する関心の高まりを示しています。

このプログラムは、選ばれた組織にサイバーセキュリティ研究のための強力なAIモデルへのアクセスを提供したAnthropicのProject Glasswingイニシアチブに続くものです。既存の開示プロセスとは異なり、新しいサービスは人間の検証を待たずに発見を送信します。

暗号通貨開発者がClaude Mythosセキュリティスキャンへのアクセスをリクエスト

Ethereumクライアント開発者Nethermindは、金曜日にGitHubプルリクエスト#38を提出し、登録を求めた最初のブロックチェーンプロジェクトの1つでした。この申請は、開発者がEthereumネットワークと対話するために使用するソフトウェアを維持するリポジトリ全体でのセキュリティスキャンをリクエストしています。

NethermindはEthereum実行クライアントを開発しており、ブロックチェーンのトランザクションを処理し、ネットワークの運用をサポートするソフトウェアです。この申請が承認されれば、チームはコードの潜在的な弱点を特定するAI生成レポートにアクセスできるようになります。

BitcoinおよびLightningウォレットZEUSは、モバイルアプリケーションと支払い、秘密鍵、Lightning接続を扱うコンポーネントのチェックを求める別の申請を提出しました。この自己保管型ウォレットは、ユーザーが資金の管理を維持しながらBitcoinを管理できるようにします。

Cosmos SDKを使用して構築された分散型クラウドコンピューティングマーケットプレイスVirtEngineは、別のGitHub提出を通じて登録を求めました。このプロジェクトは分散型コンピューティングサービスのインフラを開発しており、そのソフトウェアはスキャナーの別の潜在的候補となります。

これらの申請は参加のリクエストであり、プロジェクトがセキュリティ監査を完了したことを確認するものではありません。Anthropicは、インフラへの重要性、リモート攻撃への露出、他のシステムがそのソフトウェアに依存している数を考慮して、提出物を個別に評価します。

他の申請者には、AIアシスタント、セキュリティツール、機械学習インフラ、クラウドストレージシステムの開発者が含まれます。Anthropicは、暗号プロジェクトの承認や最初のレポートの配信に関する固定のタイムテーブルを発表していません。

AnthropicはAIスキャナーが数千のセキュリティ欠陥を発見したと述べる

Anthropicは、AIモデルが研究者が手動でレビューするよりも早く潜在的なソフトウェアの欠陥を特定できることを発見した後、OSSスキャナーを開発しました。

過去6ヶ月間、同社はそのモデルが広く使用されているオープンソースプロジェクトで29,000件以上の候補脆弱性を特定したと述べています。研究者は約6,000件の発見を手動でレビューしており、大きなバックログが評価を待っています。

これに応じて、Anthropicは参加しているメンテナーに直接レポートを送信する自動化システムを導入しました。同社は、このサービスがClaude Mythosを含む最も強力なモデルを使用して発見と提案された修正を生成すると述べています。

「これらのレポートは、私たちの最も強力なモデル（Claude Mythosを含む）によって生成されます」とAnthropicは発表しました。

従来のセキュリティ監査は開示前に手動レビューを伴うのに対し、OSSスキャナーは人間の検証なしにレポートを生成します。Anthropicは、一部の発見が不正確である可能性があることを認めており、これには不正確な重大度評価やプロジェクトのセキュリティ設計に適用されない脆弱性が含まれます。

初期テストでは、外部のペネトレーションテスターが48のプロジェクトにわたる97件の高重大度およびクリティカルな発見を調査しました。Anthropicは、85件の発見、約88%が協調脆弱性開示の基準を満たしていると報告しました。

残りの12件のうち、11件は既存の報告や既知の脆弱性を重複している本物の問題でした。1件は無効でした。

同社は、スキャナーが特定された弱点の再現可能な例、影響を受けるコードの説明、および利用可能な場合の提案されたパッチを提供すると述べています。参加する暗号開発者は、変更が必要かどうかを判断する前に、これらの発見を自ら確認する必要があります。

Anthropicは、大量の自動レポートを処理できないプロジェクトに対して、既存の人間による脆弱性開示プロセスを継続します。

この発表は、ブロックチェーン企業が自動化ツールやAIの支援を受けた攻撃を報告したいくつかのセキュリティインシデントに続いています。

8月、ビットコインスワッププロバイダーのBoltzは、数ヶ月にわたるAI支援の攻撃を受けて運営を停止しました。同社は、攻撃者が開発者が調査して修正するよりも早く弱点を特定していると述べました。

Boltzは、いくつかの制限されたエクスプロイトを報告した後、8月3日にスワップサービスを停止しました。チームによると、自己保管設計により顧客の資金が露出することはありませんでしたが、同社は運営上の損失を被りました。

この中断は、Boltzのインフラに依存するサービスに影響を及ぼし、ZEUSを含みます。ウォレットはシャットダウン後にスワップ機能を一時的に無効にし、別のZEUSサイバーセキュリティインシデントにより、チームはインフラの一部をレビューのためにオフラインにしました。

別のセキュリティイニシアチブであるBitcoin Red Teamは、8月に約30時間のAI支援コードレビュー中に390のビットコイン関連プロジェクトで4,962件の潜在的な脆弱性を特定したと報告しました。

ビットコインのセキュリティレビューでは、720件の発見が高またはクリティカルな重大度として分類されましたが、報告された問題は確認されるまで確認された脆弱性として扱われる必要がありました。

Anthropicの以前のプロジェクトGlasswingプログラムは、確立された業界参加者を引き付けています。8月、Krakenの親会社であるPaywardは、ソフトウェアの弱点を調査するためにClaude Mythosセキュリティプログラムに参加しました。

同社は、自社の環境をスキャンし、サードパーティのオープンソースプロジェクトに影響を与える検証済みの発見をそのメンテナーと共有する意向を示しました。

OSSスキャナーは、10月8日に発表されたAnthropic Cyber Missionの一部であり、ソフトウェアのセキュリティと重要なインフラの保護を支援します。

スキャンサービスに加えて、Anthropicは、電力網、交通ネットワーク、産業システムを保護する組織にAIモデル、エンジニアリングサポート、脅威研究を提供するCritical Infrastructure Defense Programを導入しました。

このイニシアチブには、CrowdStrike、Accenture、Deloitte、Palo Alto Networks、その他のサイバーセキュリティおよびテクノロジー企業とのパートナーシップが含まれています。

オープンソース開発者向けに、Anthropicは承認されたプロジェクトに対して定期的なセキュリティスキャンを無償で提供しています。メンテナーは、公開された登録テンプレートを使用してOSSスキャナーのGitHubリポジトリを通じて申し込むことができます。

適格性の決定は、プロジェクトが「インフラとユーザーのセキュリティに重要な影響を与えるかどうか」と、チームが報告された脆弱性をレビューし対処する能力を考慮します。

Anthropicは、最終的にどれだけの暗号プロジェクトを受け入れるかを発表していません。承認されたメンテナーは、サービスを通じてモデル生成レポートを受け取り、同社は既存のセキュリティプロセスを通じて人間による開示を引き続き提供します。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。