Claude Opus 4.6 от Anthropic обнаружила более 500 ранее неизвестных серьезных уязвимостей в библиотеках с открытым исходным кодом. Модель работала практически без каких-либо подсказок.

Перед дебютом команда Anthropic протестировала Opus 4.6 в изолированной среде. Проверяли, насколько хорошо ИИ находит ошибки в открытом коде. Модель получила доступ к Python и инструментам анализа уязвимостей. Это классические отладчики и фаззеры. Но без конкретных инструкций или специального обучения.

Opus 4.6 обнаружила более 500 уязвимостей нулевого дня, используя только готовые возможности. Каждую подтвердил член команды Anthropic или сторонний исследователь безопасности. Уязвимости варьировались от сбоя системы до повреждения памяти.

Claude обнаружила уязвимость в GhostScript — популярной утилите для обработки PDF и PostScript. Она может привести к сбою программы. ИИ также выявил баг переполнения буфера в OpenSC — утилите для смарт-карт. И в CGIF — инструменте для обработки GIF-файлов.

Во многих случаях Opus 4.6 использовала навыки логического мышления. Модель нашла способы обнаружения ошибок после того, как традиционные инструменты безопасности ничего не выявили.

В случае с GhostScript ИИ обратился к истории коммитов проекта в Git. Фаззинг и ручной анализ не выявили ошибок. После обнаружения уязвимости модель предприняла упреждающие шаги для определения аналогичной ошибки в других частях кода.

При работе с CGIF Claude заблаговременно разработала собственное доказательство концепции. Это подтвердило реальность уязвимости.

«Это гонка между защитниками и злоумышленниками. Мы хотим как можно быстрее предоставить инструменты в руки защитников», — сказал Логан Грэм, руководитель группы по борьбе с вредоносным ПО в Anthropic.

Компания считает возможности Opus 4.6 огромным достижением для мира безопасности. «Я не удивлюсь, если это станет одним из основных способов обеспечения безопасности открытого ПО в будущем», — отметил Грэм.

Anthropic добавила средства контроля безопасности в Opus для быстрого выявления и реагирования на действия злоумышленников. Инструменты обнаружения в реальном времени могут блокировать вредоносный трафик.

Грэм сказал, что Anthropic рассматривает способы предоставления возможностей обнаружения уязвимостей более широкому сообществу. Включая потенциальные новые инструменты.

Opus 4.6 представили в начале февраля. Модель дольше удерживает контекст, аккуратнее планирует шаги, стабильнее работает с большими кодовыми базами. Получила контекстное окно на 1 миллион токенов.