Chainguard wprowadza Harness do wyszukiwania podatności w zaawansowanych modelach AI

14 października 2026 r. Chainguard zaprezentowała Chainguard Harness — usługę wykorzystującą Claude Mythos 5.1 firmy Anthropic do wyszukiwania podatności, które można wykorzystać, w działającej aplikacji organizacji, uruchomionej w odizolowanym środowisku kompilacji. Usługa dostarcza każdą potwierdzoną podatność wraz z zalecanym sposobem jej naprawy. Tego samego dnia firma uruchomiła listę oczekujących na wersję beta i udostępniła usługę do zakupu w Claude Marketplace firmy Anthropic.

W swoim komunikacie Chainguard poinformowała, że zaawansowane modele wykrywające podatności w kodzie własnym i otwartym były dotąd dostępne głównie dla wąskiej grupy organizacji zajmujących się bezpieczeństwem infrastruktury krytycznej. Firma stwierdziła, że Harness udostępnia tę możliwość organizacjom, które nie mają dostępu do zaawansowanych modeli ani wiedzy z zakresu bezpieczeństwa i inżynierii potrzebnej do samodzielnego korzystania z nich.

Prezes i współzałożyciel Dan Lorenc powiedział w komunikacie firmy: „Za każdym razem, gdy kierowaliśmy Harness na kod, znajdował poważne podatności, które można było wykorzystać — także w oprogramowaniu wielokrotnie skanowanym wcześniej oraz w kodzie obsługującym infrastrukturę krytyczną”. Dodał, że Harness daje zespołom ds. bezpieczeństwa kolejną możliwość uzyskania potwierdzonych podatności i poprawek, które ich inżynierowie mogą wdrożyć.

Jak działa Harness

W komunikacie Chainguard opisano pięcioetapowy proces. Klienci łączą repozytoria za pośrednictwem aplikacji Chainguard GitHub App, która ma dostęp tylko do odczytu, albo przesyłają archiwum kodu źródłowego. Harness kompiluje aplikację z kodu źródłowego dokładnie tak, jak miałaby zostać wdrożona w środowisku produkcyjnym, a następnie uruchamia ją w odizolowanej mikromaszynie wirtualnej (microVM). Mythos 5.1 bada działającą aplikację pod kątem błędów logiki, luk umożliwiających wstrzyknięcie kodu i wyczerpania zasobów. Analizuje przy tym kod źródłowy, historię Git, kod źródłowy zależności i konfigurację kompilacji oraz obserwuje reakcje działającej aplikacji.

Izolacja przebiega w dwóch fazach. Podczas konfiguracji odrębny model kompiluje aplikację, pobiera jej zależności i narzędzia, a następnie uruchamia ją w mikromaszynie wirtualnej, która zostaje zawieszona. W fazie wyszukiwania mikromaszyna wirtualna zostaje ponownie uruchomiona na potrzeby Mythos 5.1 — bez dostępu do sieci zewnętrznej i bez zapisanych w niej danych uwierzytelniających. Model korzysta wyłącznie z powłoki i pakietów przygotowanych przez Chainguard. Pętla działania agenta funkcjonuje poza piaskownicą, dlatego rejestrowane jest każde wywołanie narzędzia i każde polecenie wydane przez model. Badany kod traktowany jest jako niezaufane dane, co — jak poinformowała firma — chroni przed atakami typu prompt injection ukrytymi w analizowanym kodzie.

Każdy exploit jest odtwarzany w nowej mikromaszynie wirtualnej, a podatność, której nie udaje się wykorzystać za każdym razem, nie trafia do raportu. Każda zalecana poprawka jest weryfikowana w ten sam sposób: exploit musi zadziałać na aktualnym kodzie klienta, ale nie może zadziałać po zastosowaniu poprawki. Przekazany raport zawiera podsumowanie dla kadry kierowniczej, ocenę wagi i wpływu każdej podatności, instrukcje pozwalające ją potwierdzić oraz zalecaną poprawkę dostosowaną do bazy kodu klienta. Przed przekazaniem raportu i poprawek każdy z nich sprawdza i zatwierdza wskazany z imienia i nazwiska inżynier Chainguard.

Zgodnie z komunikatem model obsługują wyłącznie pracownicy Chainguard; nikt spoza firmy nie może wydawać mu poleceń ani zobaczyć jego surowych wyników. Gdy Harness wykryje lukę w zależności o otwartym kodzie źródłowym, a nie w kodzie klienta, Chainguard koordynuje jej ujawnienie z opiekunami projektu macierzystego. Po usunięciu problemu w projekcie macierzystym poprawiona kompilacja jest udostępniana za pośrednictwem Chainguard Repository. W komunikacie wskazano, że ścieżka skoordynowanego ujawniania podatności nosi nazwę Athena i jest procesem Chainguard.

Pierwsza publicznie ujawniona podatność w vLLM

Komunikat opublikowano dzień po tym, jak Chainguard przedstawiła pierwszą publicznie ujawnioną podatność wykrytą przez Harness. W wpisie badawczym z 13 października 2026 r. firma poinformowała, że Harness wykrył błąd w vLLM — silniku open source do obsługi dużych modeli językowych — który pozwalał jednemu klientowi wymusić wyświetlenie na wspólnym silniku wyniku żądania innego klienta. Problem dotyczył parametru żądania allowed_token_ids, który ogranicza tokeny możliwe do wygenerowania przez model. Po zakończeniu żądania jego wiersz we wspólnej tabeli ograniczeń był przypisywany ponownie bez usunięcia poprzedniego ograniczenia, przez co kolejne żądanie mogło przejąć limity poprzedniego klienta. Błąd dotyczył wersji vLLM starszych niż v0.31.0.

Chainguard poinformowała, że odtworzyła exploit trzykrotnie na trzy próby. Firma zgłosiła wpływ problemu na bezpieczeństwo opiekunom vLLM 23 września 2026 r.; poprawkę udostępniono w wersji v0.31.0 2 października 2026 r., a 6 października 2026 r. opublikowano poradę bezpieczeństwa GHSA-6cxc-2vcg-w5qc. Błąd figurował w publicznym systemie zgłoszeń vLLM od 28 maja 2026 r. jako zwykły błąd. Jak podano we wpisie, vLLM ocenił jego wagę jako niską, a poprawka składała się z jednej zmiany w kodzie i powiązanej z nią poprawki.

Według wpisu test Harness w vLLM trwał 10 godzin i 48 minut, przetworzył około 115 milionów tokenów i objął 30 obszarów projektu. Na czystym hoście udało się odtworzyć 37 potencjalnych podatności, a 13 przeszło weryfikację inżynierską. Chainguard poinformowała, że przetestowała Harness na ponad 65 projektach i potwierdziła ponad 680 podatności, z których część jest objęta skoordynowanym ujawnianiem. Jak podano we wpisie, prace nad Harness rozwinęły się po tym, jak Chainguard dołączyła do Project Glasswing firmy Anthropic.

Dostęp w wersji beta i dostępność w marketplace

Chainguard najpierw udostępnia usługę ograniczonej grupie organizacji. Strona produktu Harness informuje, że usługa jest w wersji beta i ma status Technology Preview na mocy Umowy ramowej o świadczenie usług i licencji Chainguard.

Harness jest wymieniony na giełdzie Claude’a firmy Anthropic. Zgodnie z opisem klienci, którzy mają już zobowiązania wobec Anthropic, mogą je wykorzystać, składając wniosek o zakup za pośrednictwem giełdy. W komunikacie Chainguard podano, że Anthropic obsługuje fakturowanie, dzięki czemu klienci Anthropic mogą dodać Harness bez osobnej procedury zakupowej i skonsolidować wydatki na rozwiązania AI.

W chwili premiery inżynierowie Chainguard obsługują Harness w imieniu klientów. Mogą uruchamiać go na udostępnianych już przez Chainguard artefaktach open source i dostarczać poprawione kompilacje za pośrednictwem Chainguard Repository albo analizować kod źródłowy klienta i przygotowywać raport zweryfikowanych ustaleń, sprawdzony przez inżyniera, zawierający informacje o wadze i skutkach problemów, kroki pozwalające je odtworzyć oraz zalecane działania naprawcze.

Daniela Hurtado, szefowa ds. cyberbezpieczeństwa w sektorze komercyjnym w Anthropic, powiedziała w komunikacie, że modele takie jak Mythos 5.1 mogą wykrywać luki, które przez lata pozostawały niezauważone, a Harness zapewnia modelowi izolację, możliwość odtworzenia problemu i weryfikację przez człowieka, dzięki czemu każde ustalenie zostaje potwierdzone, zanim trafi do klienta. Organizacje mogą zapisać się na listę oczekujących na wersję beta na stronie Harness firmy Chainguard.