Anthropic 以 Claude 自動分析並縮減程式碼攻擊面：25 個開源專案找出 493 個問題

Anthropic 發表研究，展示以 Claude 進行自動化攻擊面分析與縮減的初步成果。做法是讓模型先找出程式碼中可被觸及的路徑，再移除或限制部署不需要對外暴露的功能，不必逐一找出並修補個別漏洞即可降低未知漏洞的嚴重性。 研究團隊以三種方法切入：預設設定下可被觸及但不應啟用的程式碼、單獨看合理但組合後會出問題的設定組合（例如靜默停用某項安全控制），以及在認證或其他安全控制之前、或協定狀態轉換之前就執行的敏感程式碼。 團隊用 Claude 分析 25 個開源專案，涵蓋 C、C++、Java、PHP、Python 等語言，總計逾 500 萬行程式碼。Claude 盤點出超過 17,000 個設定選項，其中 3,842 個與安全相關的控制或功能有關，最終共發現 493 個問題。 依專案性質，研究將其分為三類：面向任何使用者的公開型（Public）、需認證後才提供功能的閘控型（Gated），以及僅供營運者內部環境使用的私有型（Private）。在 11 個閘控型專案中，全部都有非預期可被觸及的程式碼，不過這些程式碼在各專案中佔總行數的比例都不高。具體而言，Claude 找到 93 個預設設定下不必要的認證前暴露面、37 處在認證前執行或記錄狀態的程式碼位置，以及 61 種會靜默削弱管理員所設定認證前控制的設定組合。 需注意的是，這些數據為研究團隊公布的初步預覽，論文或文章中尚未提供修補後的實際驗證結果，外界也尚無獨立評估。