VulnCheck: após sete meses, o registro de vulnerabilidades da Anthropic mostra 217 correções entre 37.966 descobertas

A empresa de segurança VulnCheck, que vende inteligência sobre vulnerabilidades, publicou sua atualização de novembro sobre o Project Glasswing da Anthropic. Estes são os números e a interpretação da VulnCheck, não da Anthropic.

Contagem da VulnCheck: a empresa acompanhou 442 CVEs atribuídas à Anthropic desde abril, cerca de 0,5% das 93.450 CVEs publicadas neste ano, e afirma que apenas duas foram exploradas na prática. Das 37.966 descobertas no registro de divulgação da Anthropic (na atualização de 2 de novembro), a VulnCheck afirma que 7.349 (19,4%) são públicas, 217 estão marcadas como corrigidas, 1.654 como duplicatas e 419 foram retiradas. Desde sua atualização de 8 de setembro, afirma que o registro ganhou cerca de 11.800 descobertas e 15 correções.

Taxa de verdadeiros positivos: o registro informa 94,2%, acima dos 90,8% no lançamento. A VulnCheck questiona como as duplicatas e as retiradas são contabilizadas.

curl: a VulnCheck relata que o mantenedor do curl, Daniel Stenberg, recebeu 45 relatórios do OSS Scanner da Anthropic: um classificado como médio e os demais como baixos. Dos 34 publicados até agora, a VulnCheck afirma que 19 foram considerados não vulnerabilidades, 6 foram confirmados como de baixa gravidade e 9 aguardam avaliação.

A VulnCheck afirma que a IA é uma ferramenta valiosa para encontrar vulnerabilidades, mas que as evidências não correspondem às alegações feitas no lançamento. A resposta da Anthropic não faz parte da publicação.