ИИ Anthropic вскрыл 500 дыр в популярном ПО

Аудит опубликовали 23 октября 2026 года. С помощью модели Claude инженеры Anthropic проанализировали 25 крупных open-source проектов на C, C++, Java, PHP и Python, охватив более 5 миллионов строк кода. ИИ обнаружил почти 500 угроз безопасности, включая 3842 параметра конфигурации, напрямую влияющих на защиту, и критический конфликт, остававшийся незамеченным ровно 21 год.

Латать дыры по одной напоминает бесконечную игру в прятки. В Anthropic решили сменить парадигму. Вместо точечного поиска они сосредоточились на тотальном сокращении поверхности атаки, выявляя тысячи скрытых параметров, которые люди просто не замечают при беглом ревью.

«Вместо бесконечной охоты за отдельными уязвимостями разработчикам разумнее сокращать число участков кода, доступных атакующим», — заявили в Anthropic.

Мы, в редакционной практике, регулярно сталкиваемся с тем, как сложные конфигурации ломают логику защиты. Исследование это подтверждает. Во всех проектах, рассчитанных на авторизованных пользователей (что казалось базовым требованием безопасности), нашлись участки кода, доступные злоумышленникам ещё до финальной проверки прав клиента. Конкретнее, выявлены десятки поверхностей атаки, доступные в конфигурациях по умолчанию, и несколько десятков случаев выполнения кода до прохождения аутентификации. Плюс более полусотни комбинаций настроек, которые методично ослабляли механизмы защиты.

Особенно показателен кейс с OpenSSH. Программа безопасного удалённого доступа содержала демон, обращавшийся к нескольким тысячам строк экспериментального кода постквантовой цифровой подписи до проверки конфигурации сервера. Сам алгоритм был отключён, но код обработки данных оставался доступен неавторизованным клиентам. После сигнала от Anthropic разработчики оперативно выпустили версию 10.6, сделав около пятой части этого кода, ранее открытого для всех, недоступным для неавторизованных внешних запросов.

Конфликты настроек творят чудеса, причём в худшем смысле этого слова. В исследованных проектах нашли более полутора сотен комбинаций параметров, для которых в документации вообще не было описано ожидаемое поведение. В ряде случаев это приводило к полному отключению средств защиты, в других — к фатальным несоответствиям и ошибкам. Одна настройка требовала строгого подтверждения личности через сертификаты, а другая полностью отключала эту проверку, хотя должна была лишь временно её отложить, создавая идеальную брешь. Именно этот конфликт и продержался в коде более двух десятилетий.

Но просто найти баги недостаточно. Сформированные в ходе исследования методы инженеры уже объединили в специализированный инструмент для Claude. В ближайшее время его интегрируют в OSS-Scanner — бесплатный сервис для проверки безопасности open-source проектов. Новая система будет проверять выявленные уязвимости через динамическое отслеживание выполнения программы, сопоставляя их с текущим поведением системы, чтобы заранее предупреждать разработчиков о критических изменениях, способных нарушить работу ПО.

Общее количество уязвимостей в интернете растёт экспоненциально, и традиционный постоянный патчинг требует системного подхода к архитектуре, а не косметических правок. Уязвимости могут быть скрыты в самых малоиспользуемых модулях, которые редко попадают в фокус внимания аудиторских команд. Только автоматизированный аудит способен снизить эти риски до приемлемого уровня, перекладывая рутину на плечи алгоритмов.

Справиться с такой нагрузкой вручную уже невозможно. Что будет, когда такие инструменты станут стандартом для каждого коммита, пока неясно.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.