利用Claude减少代码攻击面 - Anthropic

Anthropic 本周公布了一项内部研究：用 Claude 对 25 个开源项目（合计超 500 万行代码，涵盖 C、C++、Java、PHP 等语言）做自动化攻击面分析，共发现 493 个问题。这些项目并非小打小闹的示例代码，而是真实在用的开源代码库。Anthropic 研究员 Chris Rohlf 在文中给出的核心判断是：与其逐个找漏洞、修漏洞，不如直接缩小代码的“可达面”——让攻击者根本够不着那些不该暴露的代码。 这套思路解决的是一个老问题。过去一年，前沿 AI 模型已经反复证明自己能发现甚至利用安全漏洞，但“找漏洞”这件事本身有天花板：修好一个关键漏洞，并不能告诉你剩下的漏洞在哪；而且软件会随着版本迭代不断堆叠抽象层、依赖和功能，实际行为往往偏离开发者最初的设计，攻击者恰恰研究的是代码“实际怎么跑”，而不是“设计时想怎么跑”。Anthropic 提出的攻击面缩减，是把不该在默认配置下可达、不该在认证前可达、不该在零点击下可达的代码，挪到认证之后、点击之后、显式开启之后。代码本身没变，漏洞也没被删除，但可达性下降后，未知漏洞——包括正在被利用的漏洞——的严重程度会随之降低。 具体到方法，Anthropic 聚焦三类问题：一是默认配置下可达、但本不该被默认功能使用的代码；二是单独看都合理、组合起来却出问题的配置项（比如悄悄关掉某项安全控制，或让功能行为处于未定义状态但代码仍可达）；三是运行在认证等安全控制之前、无需受害者交互、或处于协议状态转换之前的安全敏感复杂代码。Claude 在这 25 个项目中识别出的 493 个问题，正是按这三类描述去匹配的结果。对开发者来说，这意味着一种可复用的做法：不必等漏洞被找到，先用模型把代码的可达路径摸一遍，把不必要的暴露收回去。对跨境电商和出海团队而言，这套方法同样适用——自建站、ERP 插件、支付回调接口这类代码往往迭代快、默认配置随手开，攻击面缩减可能比追着补丁跑更划算。