Contexte et objectifs
Anthropic a évalué la capacité de son modèle Claude à identifier et à restreindre les parties de code accessibles inutilement. L’objectif était de montrer qu’une analyse automatisée de la surface d’attaque peut améliorer la sécurité d’un logiciel sans corriger chaque vulnérabilité individuellement.
Méthodologie d'analyse automatisée
Claude a été exécuté sur 25 projets open source, couvrant plus de cinq millions de lignes de code et écrits en C, C++, Java, PHP et Python. Le modèle a d’abord inventorié plus de 17 000 options de configuration, dont 3 842 liées à des contrôles de sécurité. Trois axes d’analyse ont été retenus : configuration par défaut, interaction entre options et atteignabilité précoce. Pour chaque projet, Claude a généré une liste d’éléments potentiellement exposés et a proposé des déplacements de code vers des points de contrôle (authentification, opt‑in, etc.).
Résultats clés et implications
Au total, Claude a détecté 493 problèmes de surface d’attaque. Dans les projets classés « gated », il a repéré 93 surfaces pré‑authentification inutiles, 37 emplacements où du code s’exécutait avant l’authentification et 61 combinaisons de paramètres qui affaiblissaient silencieusement le contrôle pré‑auth. Aucun de ces points n’était exploitable isolément, mais leur présence augmente la probabilité d’une chaîne d’attaque.
Les interactions de configuration ont généré les découvertes les plus marquantes : 162 combinaisons sensibles acceptées sans erreur ni avertissement. Parmi elles, 94 désactivaient silencieusement un mécanisme de sécurité, tandis que 68 créaient des incohérences (par exemple, un écouteur restait actif alors que la configuration indiquait le contraire, ou l’ordre des paramètres déterminait le comportement). Ces cas illustrent comment des réglages apparemment anodins peuvent élargir la surface d’exposition.
En réduisant la portée du code accessible, les projets peuvent atténuer la gravité de vulnérabilités inconnues. Le principe repose sur le déplacement du code vers des zones protégées (post‑authentification, opt‑in explicite) ou sur la suppression de chemins d’accès inutiles, ce qui limite les points d’entrée exploités par un attaquant.
Limites et perspectives
L’étude se base sur des projets open source et sur les capacités actuelles de Claude. Elle ne mesure pas l’impact réel sur des attaques en conditions réelles, ni la charge de travail nécessaire pour appliquer les recommandations. De plus, la détection dépend de la qualité des descriptions de configuration fournies au modèle. Des recherches futures pourraient étendre l’évaluation à des environnements privés et mesurer le coût opérationnel de la mise en œuvre des correctifs proposés.
