Claude znalazł 22 luki bezpieczeństwa w Firefoksie w 2 tygodnie

Anthropic puścił swojego Claude Opus 4.6 na kod Firefoksa. W dwa tygodnie AI znalazł 22 CVE (14 wysokiego ryzyka) + 90 innych bugów, których tradycyjny fuzzing nie wyłapał. Wszystkie załatane przed Firefox 148. AI jako audytor bezpieczeństwa to przyszłość.

[konto-z-sufitu]

Nie Claude, tylko zespół ludzików z Anthropic, którzy użyli Claude'a, a potem zweryfikowali jego output.

[Arkhar]

@conamirko: w sumie dużo wnosi, bo znaleźć to Claude mógł tysiące problemów, z czego większość była false positive. Największy problem to potem odsiać nieprawdziwe informacje. W bardzo popularnym narzędziu CURL przez zalew fałszywych błędów bezpieczeństwa, wyłączyli program bug bounty. Bo developerzy marnowali kupę czasu na weryfikację niepotwierdzonych dziur.

[konto-z-sufitu]

@Arkhar: Dzięki stary, zaoszczędziłeś mi 5 minut życia, łap plusa.

[Jovano]

Każdą sztuczną inteligencję można zastąpić skończoną liczbą studentów. ( ͡° ͜ʖ ͡°) Odświeżone prawo Filipiaka.
Claude może jest i fajny, ale limity zabijają sensowność używania przy większych projektach. Trzeba jeszcze rok, dwa poczekać na być może inną AI, która będzie lepiej ogarniać temat przy złożonych systemach.

[HabaHabaZutZut]

Claude może jest i fajny, ale limity zabijają sensowność używania przy większych projektach.

@Jovano: To jest wiadome ryzyko związane z AI o którym nikt nie mówi. A to przecież wykłada na klasyczny schemat:
1. Daj ludziom tanio narzędzie co usprawnia pracę. Firmy się zachwycą, sporo programistów pójdzie na bruk.
2. Poczekaj trochę aż się stan ustabilizuje - firmy wytwarzają za pomocą AI, zostali sami seniorzy i eksperci domenowi (ktoś nadal

[Erk700]

@HabaHabaZutZut: 4. Firmy nie przyjmowały juniorów. Seniorzy odchodzą na emeryturę.
Teraz nie ma ani juniorów, ani seniorów, zaś AI nadal jest niesamodzielne.

[00F6x]

Manipulacja w tytule; fragment z https://blog.mozilla.org/en/firefox/hardening-firefox-anthropic-red-team/
Szczegóły techniczne https://www.anthropic.com/news/mozilla-firefox-security

Raporty o błędach wspomagane przez AI mają mieszane osiągnięcia, a sceptycyzm jest uzasadniony. Zbyt wiele zgłoszeń oznacza fałszywe pozytywy i dodatkowy ciężar dla projektów open source. To, co otrzymaliśmy od Frontier Red Team w Anthropic, było inne.

Zespół Anthropic skontaktował się z inżynierami Firefoxa po użyciu Claude do identyfikacji błędów bezpieczeństwa w naszym silniku JavaScript. Krytycznie ważne było to, że ich raporty o

[00F6x]

@JKL789:
Prawidłowy tytuł:
Badacze z Anthropic’s Frontier Red Team przy użyciu narzędzia Claude AI zdiagnozowali i potwierdzili (tutaj liczba luk) CVE bezpieczeństwa w w kodzie źródłowym Firefoxa.

Sam Claude dał tylko blob danych, to ciężka praca człowieka wyskrobała z tego blobu danych potwierdzone przypadki możliwe do odtworzenia. Sam program zrobił tylko wielką kwerendę kodu źródłowego i znalazł podatności, niektóre poważne, niektóre jako anomalie, inne przekłamane etc. To praca ludzi, a

[JKL789]

@00F6x: trochę się czepiasz :)

Z artykułu który sam podrzuciłeś wynika, że ludzie z Antrophica odpalili Claude'a na 6000+ plikowym repo, a po 20 minutach dostali pierwszy raport o błędzie. Który, tak, zgadza się, sami sprawdzili i zgłosili Mozilli.

Więc to nie człowiek siedział przy maszynie i wskazywał palcem: sprawdź to, sprawdź tamto, jak w typowych narzędziach programistycznych. Człowiek wrzucił kod do magicznego kotła i dostał odpowiedź. Więc tak, według

[snorli12]

To fascynujący, ale i niepokojący moment. Z jednej strony mamy potężne narzędzie dla „dobrych gości”, które pozwala błyskawicznie łatać dziury w przeglądarkach używanych przez miliony ludzi. Z drugiej ten sam eksperyment pokazał, że Claude za około 4000 USD w kredytach API był w stanie stworzyć dwa działające exploity. To oznacza, że bariera wejścia dla cyberprzestępców drastycznie spada. Wyścig zbrojeń w 2026 roku nie toczy się już między ludźmi, a między algorytmami: kto

[kotas_przesmiewca]

@snorli12: ci robią to oficjalnie, a ile grup hakerskich siedzi i robi takie rzeczy dla siebie teraz?

[enten]

a ile grup hakerskich siedzi i robi takie rzeczy dla siebie teraz?

@kotas_przesmiewca: Dokładnie trzy - po jednej w Chinach, w USA i w Izraelu. ( ͡° ͜ʖ ͡°)
Skąd wiem? Na oko policzyłem ( ͡° ͜ʖ ͡°)

[puto]

ai rozwiązało problem który stworzyło tak naprawdę. Z tymi lukami firefox działał i był bezpieczny. Dlaczego? Bo człowiek i tak tego nie znajdował. A teraz z AI musimy to łatać żeby inne AI nie wykorzystało tych luk. To jest ślepa uliczka rozwoju technologii. Tworzysz technologię a wraz z nią nowe problemy w iloście wykładniczo większej niż rozwiązujesz problemy. Tak jest za każdym razem. W każdej iteracji.

[Intec18]

@puto: powiedział co wiedział. Odkrył łuki które mogły być odkryte przez człowieka. Kwestia czasu.

[Intec18]

@puto: super logika

[Desseres]

o, moja przeglądarka ma jeszcze mniej błędów <3

[Gieekaa]

Ciekawe co by znalazł Claude po sprawdzeniu Wykopu?

[Gr4bek]

@Gieekaa: legenda głosi że do dziś wypisuje podatności

[ryhu]

@Gieekaa: tagi by naprawił

[Harmonijka_w_Gsus911]

Skoro AI produkuje dziurawy kod, albo nie całkiem rozumie kontekst z kilkustronicowego PDF'a to jaki jest gwarant że sprawdzanie luk w kodzie jest tym razem wzorowe? Ktoś na to patrzy? A może claude znalazło 120 luk w kodzie, a po oku "kuratora" okazało się że 20 ma sens?

[JKL789]

@Harmonijka_w_Gsus911: no dobrze, załóżmy przez chwilę że naprawdę tak było. Czyli Claude zgłosił 120 luk, a tylko 20 miało sens... Ale to przecież wciąż 20 znalezionych luk, których długo nikt w Mozilli by pewnie nie znalazł, bo nikt o zdrowych zmysłach nie czyta po kolei 6000 plików w C++ tak jak zrobił to Claude

[krebul]

@Harmonijka_w_Gsus911: Odpowiedzi na wszystkie zadane przez Ciebie pytania są w znalezisku, które komentujesz. ¯\(ツ)/¯

[Aperitiff]

Przereklamowane póki co ten Claude. Jest to dobre narzędzie ale żeby się nad tym spuszczać zaraz, że Claude jako audytor bezpieczeństwa, to gruba przesada. Nie dajcie się tym omamić tak jak Brzoska ostatnio.

[PepikPL]

@Aperitiff: Szefostwo strasznie ekscytuje się Claudem. Wykupili konta premium i zrobili nawet hackathon... który utwierdził mnie w moim przekonaniu. To jest dobre do typowym i powtarzalnych zadań, ale i tak trzeba patrzeć mu na ręce. Natomiast jak masz na tapecie coś bardziej skomplikowanego czy precyzyjnego to skończy się tak, że wypluje Ci kilkaset linii kodu, które nie mają sensu i albo musisz ręcznie poprawiać, albo walczyć z nim, by iteracyjnie

[shusty]

@PepikPL: najgorsze że właśnie iteracyjnie kiepsko mu idzie bo 3 prompty dalej rozwala to co poprawiłeś wcześniejszymi promptami i jakie mu dałeś założenia

[polski_cygan]

Jak to dobrze, że Firefox jest niszową przeglądarką i za małą, by hakerzy się nią interesowali.

[WasylBazyl]

@polski_cygan: ma szczęście mamy IE6.0, da się żyć!