La complejidad del software a menudo crece a medida que los desarrolladores añaden nuevas funciones, dependencias y capas de abstracción. Esta complejidad puede dar lugar a una 'alcanzabilidad innecesaria', donde el código existe en una base de código pero no está destinado a ser accesible por un usuario en un despliegue estándar. Los investigadores de Anthropic sostienen que, si bien encontrar y corregir vulnerabilidades individuales es una práctica de seguridad estándar, esto escala mal porque no aborda el riesgo subyacente de vulnerabilidades desconocidas. En su lugar, proponen la 'reducción de la superficie de ataque', que implica identificar y restringir el acceso al código que no necesita estar expuesto, reduciendo así la gravedad de posibles exploits incluso antes de que se descubra un error específico.
Esta imagen representa el esfuerzo del equipo de investigación para identificar y mitigar vulnerabilidades en proyectos de código abierto.
Para probar esto, Anthropic ejecutó Claude sobre más de 25 proyectos de código abierto que sumaban más de cinco millones de líneas de código en lenguajes como C, C++, Java, PHP y Python. El modelo identificó 493 problemas en tres categorías principales: configuraciones por defecto que exponían código no deseado, interacciones de configuración que desactivaban silenciosamente los controles de seguridad y 'alcanzabilidad temprana', donde el código sensible se ejecutaba antes de la autenticación o las transiciones de estado del protocolo. Por ejemplo, Claude identificó 162 combinaciones de configuración sensibles a la seguridad que se aceptaban sin advertencias; en 94 de esos casos, la combinación desactivaba silenciosamente un control de seguridad por completo. En otro caso, Claude encontró un fallo de configuración donde una regla de denegación fallaría en estado abierto porque un servidor compararía un patrón de nombre de host contra una dirección IP en texto plano cuando las búsquedas DNS estaban desactivadas.
La investigación destacó una aplicación significativa en el mundo real en OpenSSH, una base de código en C ampliamente auditada para el acceso remoto seguro. Claude identificó aproximadamente 4,500 líneas de código experimental de algoritmos de firma post-cuánticos (ML-DSA-44) que eran alcanzables por clientes no autenticados en la configuración por defecto, incluso cuando el algoritmo era explícitamente excluido por un administrador. Anthropic informó estos hallazgos a los desarrolladores de OpenSSH, lo que llevó a parches en las versiones 10.5 y 10.6. Estas actualizaciones movieron las comprobaciones antes de la etapa de análisis, eliminando efectivamente aproximadamente una quinta parte del código que un cliente no autenticado podía alcanzar anteriormente. Los investigadores señalan que si tales vulnerabilidades persisten en código altamente auditado como OpenSSH, es probable que estén presentes en software menos escrutado, lo que convierte a la reducción automatizada de la superficie de ataque en una estrategia de defensa de alto impacto.