Khoảng 65.600 sao cho công cụ kiểm toán mã của Cloudflare(NET) trên GitHub

Kho lưu trữ GitHub của công cụ kiểm toán bảo mật mã nguồn do Cloudflare(NET) công bố ghi nhận khoảng 65.600 sao vào ngày 8. Công cụ công khai này hướng dẫn tác nhân lập trình tìm các điểm có thể là lỗ hổng, sau đó để một tác nhân khác rà soát.

Trang kho lưu trữ hiển thị 65,6 nghìn sao và 4,3 nghìn lượt fork. Đây là các số đã làm tròn, nên không thể xác định chính xác tổng số sao chỉ từ giao diện này.

Số sao tăng trong ngày 7/11 khác nhau tùy đơn vị thống kê. RepoRadar ghi nhận 2.088 sao, RepoTrending là 2.520 và Ageshio là 2.548.

Bài đăng X của tài khoản @trending_repos được Trendshift lập chỉ mục nêu mức tăng 2.088 sao trong 24 giờ, nhưng bảng theo ngày trên cùng trang lại ghi 1.583 sao vào ngày 7/11. Chưa xác minh được bài đăng và bảng theo ngày có cùng mốc giờ và khoảng thời gian thống kê hay không, vì vậy chưa thể gộp các mức tăng thành một con số duy nhất.

Sao là một tín hiệu về mức độ quan tâm đến kho lưu trữ, nhưng không cho biết quy mô cài đặt hay sử dụng thực tế, cũng không phản ánh hiệu quả phát hiện lỗ hổng. Không thể đánh giá mức độ sử dụng hoặc hiệu quả bảo mật của công cụ chỉ dựa trên số sao hiển thị của GitHub và mức tăng do các trang theo dõi ghi nhận.

Kho lưu trữ được phát hành theo giấy phép MIT. Công cụ không phải trình quét lỗ hổng độc lập mà cung cấp cho tác nhân lập trình quy trình kiểm toán theo từng bước. Quy trình bắt đầu bằng việc khảo sát cấu trúc mã, ranh giới tin cậy và các điểm tiếp nhận dữ liệu bên ngoài.

Sau đó, quy trình chia phạm vi kiểm toán để tìm các điểm có thể là lỗ hổng. Tác nhân phát hiện ban đầu và một tác nhân riêng sẽ phản biện, xác minh từng điểm. Toàn bộ quy trình gồm sáu bước, từ lập kết quả có cấu trúc đến xác minh riêng và viết báo cáo.

Các phát hiện được ghi vào findings.json theo ba trạng thái: đã xác nhận (confirmed), cần xác minh thêm (needs_validation) và bị bác bỏ (rejected). Cách phân loại này giúp phân biệt trạng thái xác minh thay vì xem mọi điểm được nêu ra là lỗ hổng đã xác nhận.

Trong bài viết kỹ thuật ngày 18/6, Cloudflare giới thiệu skill khoảng 450 dòng dùng để kiểm tra một kho lưu trữ như điểm khởi đầu cho một hệ thống phát hiện lỗ hổng lớn hơn. Skill được công bố không đại diện cho toàn bộ hệ thống phát hiện của công ty.

Cloudflare cho biết trong thử nghiệm nội bộ, một lần chạy đã tìm ra khoảng một nửa số lỗ hổng được phát hiện qua các lần chạy lặp lại. Đây là kết quả từ trải nghiệm riêng của công ty, không phải phép đo hiệu năng của một đơn vị độc lập.

Cuộc thảo luận trên Hacker News có những phản hồi tích cực về quy trình kiểm toán. Bình luận đề cập đến trải nghiệm cá nhân về lượng token sử dụng và ý kiến nên bắt đầu với phạm vi hẹp; một câu hỏi cũng được đặt ra về lý do yêu cầu sandbox ở cấp hệ điều hành.

Trước đó, TokenPost đã đưa tin về việc Nvidia(NVDA) xác thực 947 skill AI trong bài viết này.

Kho lưu trữ hướng đến các kho mã nguồn thông dụng. Tài liệu công khai không đưa ra kết quả thử nghiệm áp dụng công cụ cho mã hợp đồng thông minh, ví hay sàn giao dịch.

Để sử dụng, cần có tác nhân lập trình hỗ trợ gọi công cụ và chạy các tác nhân con song song, cùng Node.js để chạy trình xác minh. Tài liệu hướng dẫn cô lập quá trình dựng, kiểm thử và chạy tiến trình của mã mục tiêu trong sandbox ở cấp hệ điều hành.

Kho lưu trữ yêu cầu sandbox chặn mạng bên ngoài, cho phép biến môi trường theo danh sách cho phép, giới hạn tài nguyên và chỉ cho ghi vào các đường dẫn được chỉ định. Nếu không đáp ứng các điều kiện cô lập cần thiết, công cụ sẽ không chạy mã mục tiêu và giữ phát hiện ở trạng thái cần xác minh thêm.