AI 安全
Anthropic：Claude 扫描 25 个开源项目找出 493 个问题，主张以缩减攻击面弥补逐个修漏洞的不足
Anthropic 前沿红队 10 月 20 日发布攻击面缩减的预览结果：Claude 分析了 25 个开源项目（超过 500 万行代码，含 C/C++/Java/PHP/Python），盘点出 17,000 多个配置项，找出 493 个问题。文中数字：11 个有门禁的项目全部存在非预期可达代码；162 组安全敏感配置组合被接受时既不报错也不告警，其中 94 组静默关掉了某项安全控制；OpenSSH 10.4 新增的 ML-DSA-44 后量子签名代码约 4,500 行可被未认证客户端触达，约占默认 sshd 预认证代码的 16%，10.5 把检查前移到解析前但仍留两处缺口，维护者已在 10.6 中修复。
对 AI 使用者意味着什么
漏洞找不完，缩可达面是一次性削减一批未知风险，这是与“逐个修 CVE”不同的成本曲线。数据为 Anthropic 自研自评的预览，493 个问题的严重度分级与误报率均未公开；OpenSSH 两项缺口已由其研究方上报并获得修复。
有具体工作流问题？联系咨询。新闻本身免费阅读。