VulnCheck: na zeven maanden toont Anthropic's kwetsbaarhedenregister 217 fixes onder 37.966 bevindingen

Beveiligingsbedrijf VulnCheck, dat informatie over kwetsbaarheden verkoopt, publiceerde zijn update van november over Anthropic's Project Glasswing. Dit zijn de cijfers en interpretatie van VulnCheck, niet die van Anthropic.

Telling van VulnCheck: het bedrijf heeft sinds april 442 CVE's gevolgd die aan Anthropic zijn toegeschreven, ongeveer 0,5% van de 93.450 CVE's die dit jaar zijn gepubliceerd, en zegt dat er slechts twee in het wild zijn misbruikt. Van de 37.966 bevindingen in Anthropic's openbaarmakingsregister (volgens de update van 2 november) zegt VulnCheck dat er 7.349 (19,4%) openbaar zijn, 217 als opgelost staan aangemerkt, 1.654 als duplicaten zijn aangemerkt en 419 zijn ingetrokken. Sinds de update van 8 september zijn er volgens VulnCheck ongeveer 11.800 bevindingen en 15 fixes aan het register toegevoegd.

Percentage echte positieven: het register vermeldt 94,2%, tegenover 90,8% bij de lancering. VulnCheck zet vraagtekens bij de manier waarop duplicaten en intrekkingen worden meegeteld.

curl: VulnCheck meldt dat curl-onderhouder Daniel Stenberg 45 meldingen ontving van Anthropic's OSS Scanner; één kreeg de classificatie gemiddeld en de rest laag. Van de 34 die tot nu toe zijn gepubliceerd, zijn er volgens VulnCheck 19 als geen kwetsbaarheid beoordeeld, zijn er 6 bevestigd als kwetsbaarheid met lage ernst en wachten er 9 op beoordeling.

VulnCheck zegt dat AI een waardevol hulpmiddel is om kwetsbaarheden te vinden, maar dat het bewijs niet strookt met de claims bij de lancering. De reactie van Anthropic maakt geen deel uit van het bericht.