Anthropic 发布利用 Claude 减少代码攻击面研究

Anthropic 发布研究报告，展示利用 Claude 对 25 个开源项目（涵盖超五百万行代码）进行自动化攻击面分析，共发现 493 个问题。该方法通过识别默认配置下的非必要可达代码、配置交互导致的静默失效以及认证前的早期执行路径，在不依赖已知漏洞的前提下降低未知风险。 在 11 个 Gated（需认证）项目中，Claude 发现了 93 处非预期的预认证暴露点；在配置交互分析中，找到 162 种组合会静默关闭安全控制或产生不一致行为，其中 94 例直接禁用安全机制。OpenSSH 案例显示，其 10.4 版本中存在约 4,500 行 ML-DSA-44 实验代码可在未认证状态下被访问，占预认证代码的 16%。经报告后，维护者在 10.6 版本中完成修复，移除约五分之一的非必要可达代码。 事实：Claude 分析了 25 个项目，发现 493 个问题，OpenSSH 10.6 已应用补丁。推断：此类方法可规模化应用于其他高价值代码库。猜测：未来可能成为 CI/CD 中的标准安全环节，但具体集成方式尚待验证。