VulnCheck: dopo sette mesi, il registro delle vulnerabilità di Anthropic mostra 217 correzioni su 37.966 segnalazioni

La società di sicurezza VulnCheck, che vende informazioni sulle vulnerabilità, ha pubblicato l'aggiornamento di novembre su Project Glasswing di Anthropic. Questi sono i dati e l'interpretazione di VulnCheck, non di Anthropic.

Conteggio di VulnCheck: da aprile ha monitorato 442 CVE attribuite ad Anthropic, circa lo 0,5% delle 93.450 CVE pubblicate quest'anno, e afferma che solo due sono state sfruttate in natura. Tra le 37.966 segnalazioni presenti nel registro delle divulgazioni di Anthropic (all'aggiornamento del 2 novembre), VulnCheck afferma che 7.349 (il 19,4%) sono pubbliche, 217 risultano corrette, 1.654 risultano duplicate e 419 sono state ritirate. Dall'aggiornamento dell'8 settembre, afferma che il registro ha aggiunto circa 11.800 segnalazioni e 15 correzioni.

Tasso di veri positivi: il registro indica il 94,2%, in aumento rispetto al 90,8% iniziale. VulnCheck mette in dubbio il modo in cui vengono conteggiati i duplicati e le segnalazioni ritirate.

curl: VulnCheck riferisce che il manutentore di curl, Daniel Stenberg, ha ricevuto 45 segnalazioni dall'OSS Scanner di Anthropic: una classificata a gravità media e le altre a gravità bassa. Tra le 34 pubblicate finora, secondo VulnCheck, 19 sono state giudicate non vulnerabilità, 6 confermate come vulnerabilità a bassa gravità e 9 sono in attesa di valutazione.

VulnCheck afferma che l'IA è uno strumento prezioso per individuare le vulnerabilità, ma che le prove non sono all'altezza delle dichiarazioni fatte al lancio. Il post non include una risposta di Anthropic.