Anthropic открыла код для поиска уязвимостей с помощью ИИ: теперь баги будут находить не только хакеры, но и нейросети

Anthropic, известная своей безопасной моделью Claude, опубликовала на GitHub фреймворк для автоматизированного поиска уязвимостей в коде. Инструмент использует агентов на основе ИИ, которые анализируют код и пытаются найти потенциальные бреши. По сути, это как если бы вы наняли джуниора, который не спит, не ест и не просит зарплату — только код ревьюит без устали.

Фреймворк называется "Defending Code Reference Harness" и предназначен для интеграции в CI/CD пайплайны. Разработчики могут запускать его как часть автоматизированных проверок — и получать отчёты о найденных уязвимостях. Конечно, без ложных срабатываний не обойдётся, но это всё же лучше, чем полагаться только на человеческий фактор (особенно в пятницу вечером перед деплоем).

Что интересно: Anthropic пошла по пути открытого исходного кода, что позволяет сообществу дорабатывать и адаптировать инструмент под свои нужды. Это разумный шаг — вместо того чтобы продавать коробочное решение, компания предлагает фреймворк, который можно модифицировать. Хотя, подозреваю, многие разработчики просто скопируют код, добавят пару костылей и будут молиться, чтобы CI не упал.

С практической точки зрения, инструмент может быть полезен для стартапов и команд, которые не могут позволить себе дорогие коммерческие сканеры. Но не стоит ожидать, что он заменит полноценный security review — скорее, это дополнительный слой защиты, который поможет отловить очевидные проблемы до того, как их найдут злоумышленники.

Комментарий студии METABYTE: Если вы устали от бесконечных code review и хотите, чтобы нейросеть взяла на себя часть рутины — этот фреймворк может стать вашим новым другом. А если друг окажется слишком болтливым (читай: выдаст кучу ложных срабатываний), мы всегда поможем настроить CI так, чтобы он не сходил с ума.