# Anthropic Red Team обнаружила 493 уязвимости высокого риска в 25 крупнейших проектах с открытым исходным кодом

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/anthropic-frontier-red-team-uncovers-493-flaws-in-open-source-p-2026-10-22-ni-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-10-22T18:13:35.523+00:00
Updated: 2026-10-22T18:13:54.765115+00:00

> Команда Frontier Red из Anthropic развертывает модели автономного аудита в ведущих репозиториях с открытым исходным кодом, выявляя 493 скрытых архитектурных недостатка и обходы предварительной аутентификации.

## TL;DR
- Команда Frontier Red Team Anthropic развернула автономные агенты аудита в 25 ведущих репозиториях с открытым исходным кодом и обнаружила 493 скрытых бреши безопасности.
- Обнаруженные уязвимости включали обход предварительной аутентификации, доступные отключенные конечные точки серверной части и незаметное неправильное управление памятью.
- Многоагентный конвейер аудита сформулировал гипотезы об уязвимостях и доказал возможность использования в изолированных программных средах интерактивных контейнеров.
- Anthropic координировал ответственное раскрытие информации с вышестоящими специалистами по обслуживанию, предоставляя автоматические исправления, исправляющие более 85 процентов проблем.
- Исследование подчеркивает срочный переход к агентному защитному аудиту по мере ускорения состязательного автоматического сканирования уязвимостей.

## Key points
- Команда Frontier Red Team Anthropic развернула автономные агенты аудита в 25 ведущих репозиториях с открытым исходным кодом и обнаружила 493 скрытых бреши безопасности.
- Обнаруженные уязвимости включали обход предварительной аутентификации, доступные отключенные конечные точки серверной части и незаметное неправильное управление памятью.
- Многоагентный конвейер аудита сформулировал гипотезы об уязвимостях и доказал возможность использования в изолированных программных средах интерактивных контейнеров.
- Anthropic координировал ответственное раскрытие информации с вышестоящими специалистами по обслуживанию, предоставляя автоматические исправления, исправляющие более 85 процентов проблем.
- Исследование подчеркивает срочный переход к агентному защитному аудиту по мере ускорения состязательного автоматического сканирования уязвимостей.

## Что произошло

В обширном эмпирическом исследовании, опубликованном сегодня, команда Frontier Red Team Anthropic раскрыла результаты обширной инициативы по автоматическому обнаружению уязвимостей, нацеленной на критически важную инфраструктуру программного обеспечения с открытым исходным кодом. Развернув специализированные автономные агенты аудита, основанные на пограничных моделях рассуждений, в двадцати пяти широко используемых репозиториях с открытым исходным кодом, исследователи Anthropic обнаружили 493 ранее необнаруженных архитектурных дефекта, ненужные векторы воздействия и уязвимости обхода предварительной аутентификации. Проверенные базы кода представляют собой фундаментальные строительные блоки облачных вычислений, оркестрации контейнеров, шлюзов микросервисов и корпоративных веб-платформ.

Результаты иллюстрируют как исключительный защитный потенциал, так и надвигающиеся наступательные риски, присущие автономному аудиту кода. Исследователи безопасности человека и автоматизированные инструменты статического анализа годами исследовали эти известные хранилища, не обнаружив скрытых недостатков. Напротив, автономные агенты красной команды Anthropic успешно отслеживали сложные потоки управления несколькими файлами, распознавали тонкие логические несоответствия между флагами конфигурации и выполнением во время выполнения и генерировали рабочие эксплойты для проверки концепции для подтверждения серьезности перед началом скоординированного раскрытия уязвимостей с сопровождающими.

## Почему это важно

Программное обеспечение с открытым исходным кодом лежит в основе практически всей современной цифровой инфраструктуры: от облачных гиперскейлеров и банковских серверов до критически важных коммунальных предприятий и оборонных сетей. Однако большинство проектов с открытым исходным кодом полагаются на волонтеров-сопровождающих или инженерные группы с ограниченными ресурсами, которым не хватает пропускной способности для выполнения исчерпывающих построчных проверок безопасности в огромных базах кода, охватывающих сотни тысяч строк. Поскольку злоумышленники неизбежно начинают развертывать модели открытого веса для автономного сканирования репозиториев на наличие уязвимостей нулевого дня, окно между существованием уязвимостей и автоматизированной эксплуатацией быстро стирается.

![Wikimedia Commons / Код компьютерного вируса, ASM для x86](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792691839059-q6trr6-anthropic-frontier-red-team-uncovers-493-flaws-in-open-source-p-2026-10-22-night-inside-1-dd57d6759d.webp)

Исследование Anthropic показывает, что автономные модели ИИ могут уравнять правила игры для защитников, выявляя системные недостатки конструкции в машинном масштабе. Вместо того, чтобы полагаться исключительно на поверхностное сопоставление шаблонов или известные сигнатуры CVE, агенты красной команды моделировали полные конечные автоматы приложений, определяя сложные условия гонки и пути повышения привилегий, которые возникают только в определенных конфигурациях среды выполнения. Этот сдвиг позволяет фондам с открытым исходным кодом систематически проверять устаревшие кодовые базы, прежде чем автоматизированные злоумышленники начнут использовать скрытые недостатки в качестве оружия.

## Технические детали

Техническая методология, подробно описанная в раскрытии Anthropic, описывает многоагентный конвейер аудита, сочетающий в себе выполнение символьного кода, декомпозицию абстрактного синтаксического дерева и итеративную проверку гипотез. Вместо того, чтобы запрашивать модели с помощью наивных шаблонов подсказок, система создала интерактивную «песочницу» для проверки, где автономные агенты могли формулировать гипотезы о потенциальных уязвимостях, писать целевые модульные тесты, выполнять их для действующих локальных контейнеров и наблюдать за ответами во время выполнения для подтверждения возможности использования.

Среди 493 выявленных уязвимостей значительное большинство попало в опасную категорию, которую исследователи назвали «достижимость мертвого кода» и «ошибки отправки перед аутентификацией». Во многих высокопроизводительных веб-платформах и маршрутизаторах API модульные флаги функций, предназначенные для отключения устаревших административных функций, не смогли отключить базовые сетевые маршруты диспетчеризации. Следовательно, неаутентифицированные запросы внешней сети могут по-прежнему достигать и выполнять конфиденциальные внутренние серверные функции, просто форматируя нетрадиционные комбинации заголовков HTTP или передавая определенные кодировки параметров URL.

Другие заметные категории дефектов включали незначительное неправильное управление памятью в расширениях C и C++, встроенных в среды выполнения языков высокого уровня, несанкционированные процедуры десериализации в протоколах связи микросервисов и побочные каналы криптографической синхронизации в валидаторах токенов аутентификации. Anthropic координировал ответственное раскрытие информации с вышестоящими специалистами по обслуживанию, предоставляя автоматические рекомендации по исправлениям, которые устранили более 85 процентов выявленных дефектов до сегодняшнего публичного отчета.

![Wikimedia Commons / Печатная плата после ручного травления](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792691841726-f8jcyr-anthropic-frontier-red-team-uncovers-493-flaws-in-open-source-p-2026-10-22-night-inside-2-8447c62a2b.webp)

## Влияние на рынок и отрасль

Открытие того, что передовой искусственный интеллект обнаружил почти пятьсот уязвимостей высокого риска в проверенных проектах с открытым исходным кодом, меняет приоритеты корпоративных DevSecOps. Руководители корпоративных разработчиков программного обеспечения переоценивают свою зависимость от традиционных инструментов анализа состава программного обеспечения (SCA) и статического тестирования безопасности приложений (SAST), признавая, что традиционные сканеры сопоставления с образцом слепы к архитектурным недостаткам высокого уровня. Корпоративный спрос быстро смещается в сторону агентных платформ безопасности, которые постоянно проверяют собственные и сторонние зависимости в моделируемых враждебных средах.

В то же время исследование послужило катализатором срочных дискуссий между национальными агентствами по кибербезопасности и фондами управления с открытым исходным кодом. Агентство кибербезопасности и безопасности инфраструктуры (CISA) и его международные эквиваленты неоднократно призывали к агрессивному внедрению языков, безопасных для памяти, и методам проектирования, обеспечивающим безопасность. Крупнейшие корпоративные спонсоры программного обеспечения с открытым исходным кодом, в том числе Google, Microsoft и Amazon Web Services, изучают специальные программы грантов для финансирования непрерывных автономных аудитов ИИ для высокоэффективных базовых пакетов.

## За чем следить дальше

После публикации выводов красной группы Anthropic сотрудничает с Open Source Security Foundation (OpenSSF), чтобы открыть исходный код избранных наборов для сравнительного анализа и средств оценки, использованных во время аудита. Инициатива направлена ​​на предоставление независимым сопровождающим пакетов бесплатных и доступных инструментов для проведения автоматических проверок перед выпуском основных версий.

В ближайшие кварталы сообщество кибербезопасности будет внимательно следить за тем, не попытаются ли злоумышленники перепроектировать методологию Anthropic для создания автономных атакующих ботов. По мере того, как передовые модели искусственного интеллекта становятся все более функциональными и экономически эффективными в эксплуатации, безопасность программного обеспечения вступает в асимметричную эпоху, когда скорость автоматического защитного исправления должна постоянно опережать автоматизированную состязательную эксплуатацию. Поддержание целостности цепочки поставок программного обеспечения с открытым исходным кодом будет зависеть от того, смогут ли правозащитники широко использовать эти когнитивные возможности, прежде чем злоумышленники используют их в качестве оружия.

## Источники

- [Anthropic Исследовательские публикации](https://www.anthropic.com/research/frontier-red-team-open-source-audit-2026): Полный эмпирический отчет, описывающий методологию автоматического аудита, классификацию уязвимостей и скоординированное раскрытие информации с сопровождающими.
- [Хакерские новости Безопасность](https://thehackernews.com/2026/10/anthropic-red-team-uncovers-493-vulnerabilities-open-source.html): техническая разбивка 493 обнаруженных недостатков, риски выполнения предварительной аутентификации и сроки исправления в открытом исходном коде.
- [BleepingКомпьютерная кибербезопасность](https://www.bleepingcomputer.com/news/security/anthropic-ai-finds-493-flaws-across-top-open-source-software/): Анализ того, как наступательные и защитные возможности ИИ ускоряют аудит кода и проверку цепочки поставок программного обеспечения.

Mentions: Anthropic, Claude, Open-Source Security, CVE

## Sources
- [Anthropic Исследовательские публикации](https://www.anthropic.com/research/frontier-red-team-open-source-audit-2026)
- [Хакерские новости Безопасность](https://thehackernews.com/2026/10/anthropic-red-team-uncovers-493-vulnerabilities-open-source.html)
- [BleepingКомпьютерная кибербезопасность](https://www.bleepingcomputer.com/news/security/anthropic-ai-finds-493-flaws-across-top-open-source-software/)