El avance en la detección y gestión de vulnerabilidades en el sector tecnológico es un componente esencial para la seguridad cibernética. En este contexto, se ha cumplido un hito en el Project Glasswing de Anthropic, cuyo objetivo es mejorar la identificación de vulnerabilidades de código abierto. Sin embargo, el último informe revela ciertos desafíos y una disparidad preocupante entre las cifras difundidas y las realidades del proyecto.
Desde su lanzamiento en abril, se han reportado 442 vulnerabilidades específicas atribuibles a Anthropic, lo que representa solo el 0.5% del total de vulnerabilidades publicadas este año. De estas, solo dos han sido explotadas en entornos reales, lo que plantea preguntas sobre la efectividad de su metodología de identificación. Además, de los 37,966 hallazgos que la empresa dice haber realizado, solo 7,349 (19.4%) han sido hechos públicos, y únicamente 217 se han solucionado hasta la fecha.
Analizando las cifras más detenidamente, la diferencia en el número de vulnerabilidades que han sido públicamente reconocidas por Anthropic y las que se han rastreado externamente puede crear un panorama alarmante. En siete meses de seguimiento, el número total de hallazgos ha aumentado considerablemente, añadiendo casi 12,000 en el último par de meses, mientras que las resoluciones se han mantenido en niveles mínimos, con solo 15 nuevas correcciones registradas.
Duplicados y Descapitalización
Otra estadística preocupante es que aproximadamente 1,654 hallazgos han sido clasificados como duplicados, lo que subraya una notable ineficiencia en el proceso. Sorprendentemente, la tasa de verdaderos positivos de Anthropic se eleva al 94.2%, un incremento significativo desde el 90.8% declarado anteriormente. Sin embargo, este aumento en la tasa de verdaderos positivos no coincide con el número de vulnerabilidades que han sido solucionadas, lo que suscita dudas acerca de cómo se está calculando esta estadística.
Anthropic también ha cambiado algunas de sus prácticas, trasladando parte de la carga de verificación de las vulnerabilidades a los mantenedores del código abierto mediante su OSS Scanner. Esta herramienta ofrece a los proyectos la opción de solicitar un análisis y gestionar los hallazgos directamente. Sin embargo, se ha dejado claro que estos informes son generados completamente por modelos, lo que implica que todavía pueden presentar errores. Esta situación puede resultar en una carga mayor para los mantenedores, quienes deben validar la información sin el respaldo de una revisión humana exhaustiva.
A medida que el sector de la tecnología continúa evolucionando en su lucha contra las vulnerabilidades, es evidente que, aunque las herramientas de inteligencia artificial son fundamentales, los resultados obtenidos por Anthropic hasta ahora no alinean con sus afirmaciones iniciales sobre el potencial revolucionario de su proyecto. Con la mayoría de las vulnerabilidades aún sin resolver y una cantidad significativa representando duplicados, la efectividad del Project Glasswing sigue siendo cuestionable.
La falta de progresos significativos en la resolución de vulnerabilidades destacadas y la creciente dependencia en los mantenedores del software de código abierto para manejar los hallazgos de forma independiente pueden estar marcando un año crítico en la evolución de la seguridad cibernética.