Claude ha encontrado 493 problemas de seguridad en 25 proyectos de código abierto, uno de ellos con más de 21 años de antigüedad. Anthropic ha utilizado su modelo de inteligencia artificial para revisar más de cinco millones de líneas de código, escritas en C, C++, Java, PHP y Python. Entre los programas analizados hay algunos tan conocidos como OpenSSH.Según recoge TechRadar, los investigadores han encontrado desde configuraciones que anulaban medidas de protección hasta código que podía ejecutarse antes de identificar al usuario. Esto último es especialmente interesante, porque hablamos de funciones que deberían permanecer inaccesibles hasta introducir una contraseña o identificarse de alguna otra forma, pero a las que podía llegarse sin superar esa comprobación.Un problema de seguridad que llevaba 21 años sin descubrirse Durante la investigación, Claude examinó más de 17.000 opciones de configuración, de las que 3.842 estaban relacionadas con la seguridad. En los 11 proyectos diseñados para usuarios identificados, la IA encontró funciones innecesariamente accesibles antes de la autenticación. Conviene aclarar que esto no permitía necesariamente atacar los sistemas, pero sí dejaba expuestas partes del programa que no necesitaban estarlo.Los resultados incluyen 93 puntos de acceso innecesarios en las configuraciones predeterminadas y 37 casos en los que se ejecutaba código antes de verificar la identidad del usuario. Además, Claude encontró 61 combinaciones de ajustes que debilitaban los controles de seguridad, lo que podía suceder sin que el administrador del sistema recibiese ninguna advertencia.De hecho, uno de los problemas llevaba más de 21 años sin descubrirse. Dos opciones que podían utilizarse juntas acababan entrando en conflicto: una obligaba a los usuarios a identificarse mediante certificados y la otra, que debía retrasar esa comprobación, terminaba desactivándola por completo. Lo curioso es que el programa aceptaba ambas configuraciones sin informar de que podían anularse entre sí.Anthropic también encontró 162 combinaciones de configuración cuyo comportamiento no estaba documentado. La compañía quiere utilizar estos resultados para reducir la cantidad de código al que puede llegar un posible atacante, en lugar de limitarse a buscar fallos individuales. La idea es bastante sencilla: si una función no necesita estar accesible, ¿para qué dejarla expuesta?No es la primera vez que vemos herramientas de IA para revisar código abierto, aunque Anthropic ha querido centrarse en prevenir posibles ataques sin necesidad de conocer previamente las vulnerabilidades. La compañía sostiene que restringir el acceso innecesario al código también reduce el riesgo de fallos desconocidos, incluidos aquellos que alguien pudiera estar aprovechando sin que los desarrolladores lo sepan.OpenSSH ya ha corregido parte del código que Claude encontró expuesto Uno de los ejemplos de la investigación afecta a OpenSSH, un programa utilizado para establecer conexiones seguras con ordenadores y servidores remotos. Claude descubrió que unas 4.500 líneas de código experimental estaban accesibles para usuarios sin autenticar, a pesar de que pertenecían a un algoritmo de firma poscuántica que, además, estaba desactivado por defecto.El problema estaba en el orden de las comprobaciones. OpenSSH procesaba determinados datos enviados por el cliente antes de verificar si el servidor permitía utilizar ese algoritmo. Como consecuencia, se ejecutaban operaciones que deberían haber permanecido bloqueadas, incluso cuando el administrador había deshabilitado expresamente esa función. No se encontró una forma de acceder directamente al servidor, pero sí una exposición innecesaria.Anthropic ya había realizado pruebas de ciberseguridad con el modelo Claude, aunque aquí ha aplicado sus capacidades al trabajo defensivo. Según explica la compañía, reducir el código accesible disminuye el riesgo de vulnerabilidades todavía desconocidas, sin necesidad de encontrarlas previamente. Eso no significa que desaparezcan, sino que resulta más difícil llegar hasta ellas para aprovecharlas.Anthropic quiere incorporar estas técnicas a OSS-Scanner, su servicio gratuito de revisión de seguridad para proyectos de código abierto. Claude podrá examinar configuraciones, comprobar qué funciones están accesibles y probar posibles modificaciones. Eso sí, los cambios que puedan alterar el funcionamiento del programa necesitarán revisión humana, por lo que no todas las correcciones se aplicarán automáticamente.En cuanto a OpenSSH, los responsables del proyecto recibieron los hallazgos e introdujeron las correcciones correspondientes. El resultado puede verse en OpenSSH 10.6, que ha reducido aproximadamente un 20% el código accesible antes de la autenticación, incluyendo funciones del algoritmo experimental que podían alcanzarse incluso cuando su uso estaba deshabilitado en la configuración del servidor.