Chainguard anunció el lanzamiento de Harness, una plataforma de seguridad respaldada por inteligencia artificial diseñada para detectar y corregir vulnerabilidades explotables en el código de las aplicaciones, incluidos defectos que podrían no ser detectados por las herramientas de análisis de seguridad tradicionales. La plataforma utiliza modelos avanzados, entre ellos Claude Mythos 5.1 de Anthropic, mientras que los detalles de los modelos disponibles para los clientes fuera del programa Project Glasswing no se han hecho públicos.
Chainguard afirmó que Harness detectó vulnerabilidades graves en repositorios que ya habían sido sometidos a análisis de seguridad exhaustivos, incluido software utilizado en infraestructuras críticas. Sin embargo, la empresa no reveló los nombres de los proyectos afectados, la naturaleza de los defectos ni si fueron corregidos, por lo que no es posible evaluar el alcance de los resultados o su capacidad de generalización a partir de la información publicada.
Un lanzamiento que va más allá del análisis de contenedores
Harness constituye el eje de un paquete de lanzamiento que incluye cuatro productos y actualizaciones, y amplía el alcance de Chainguard desde las imágenes de contenedores y las dependencias protegidas hasta los entornos de ejecución de agentes de programación y la validación dentro de los flujos de integración continua. El paquete incluye Workspaces, Checks y ampliaciones de la protección de Libraries.
Los clientes pueden utilizar Harness sin acceso directo a Claude Mythos 5.1. El producto también estará disponible a través de Claude Marketplace, lo que permitirá a los equipos utilizar los compromisos de gasto actuales con Anthropic en lugar de crear un presupuesto separado. Chainguard no especificó qué modelos se encargarán de detectar vulnerabilidades para los clientes que no participen en Project Glasswing.
Aislamiento de los agentes de programación respecto de los sistemas internos
Cada desarrollador o agente de programación obtiene una microVM aislada a nivel de hardware, con políticas de red que limitan el acceso a los sistemas internos. Las credenciales permanecen fuera del entorno del agente, mientras que registros firmados documentan las actividades ejecutadas para proporcionar una ruta de auditoría a través de múltiples sesiones autónomas.
El entorno utiliza políticas de salida declaradas que pueden finalizar la microVM cuando se intenta una conexión no autorizada. Además, los entornos de ejecución no conservan credenciales a largo plazo; un agente que se ejecuta en el host inyecta credenciales de corta duración en las solicitudes salientes.
Integración de las pruebas de CI en el ciclo del agente
Chainguard Checks permite a los agentes de programación ejecutar análisis de integración continua durante el desarrollo, leer después los estados de fallo y modificar el código antes de abrir una solicitud de extracción. El servicio utiliza instantáneas preparadas que contienen las dependencias para evitar reconstruir el entorno en cada ejecución, y las actualiza en segundo plano cuando cambia el archivo de bloqueo.
Cada parte del flujo de trabajo se ejecuta dentro de una microVM independiente creada a partir de paquetes de Chainguard OS, con cadenas de herramientas compatibles con FIPS. Las ejecuciones correctas generan atestaciones firmadas vinculadas al entorno de ejecución, los resultados de las pruebas y el compromiso de código, de modo que las puertas de integración puedan verificarlas sin volver a ejecutar el conjunto completo. Checks está disponible actualmente en versión beta.
¿Por qué es importante esta noticia?
Chainguard destaca una brecha práctica entre la velocidad con la que la inteligencia artificial descubre defectos y la lentitud con la que se corrigen. Según una encuesta encargada por la empresa y realizada por Wakefield Research a 1.300 responsables de seguridad en nueve mercados, más de la mitad de las organizaciones afirmó que en ocasiones deja sin corregir vulnerabilidades altas o críticas. El porcentaje aumenta al 66 % entre las empresas con ingresos superiores a 1.000 millones de dólares, frente al 27 % de las empresas con ingresos inferiores a 250 millones de dólares.
La explicación de Chainguard es que la inteligencia artificial puede detectar y relacionar los defectos en cuestión de minutos, mientras que la corrección sigue estando limitada por los calendarios de los productos y la continuidad del servicio. En la práctica, Harness no ofrece por sí solo una solución automática al problema de la corrección; la fuente no explica la tasa de éxito de las correcciones, ni especifica las vulnerabilidades detectadas o el tiempo necesario para solucionarlas. Por tanto, el valor del producto sigue estando vinculado a la capacidad de los equipos para revisar los resultados e integrar los cambios de forma segura.
En paralelo, Chainguard Libraries añade puntos de acceso seguros para paquetes de Go y .NET, y amplía el tratamiento de CVE a JavaScript y Go, con planes para ampliar la compatibilidad con Java y Python. Estos cambios tienen como objetivo abordar nuevos defectos, incluidas vulnerabilidades en dependencias que los agentes de programación quizá ya hayan añadido previamente a los proyectos, apoyándose en Chainguard Repository y su asociación con Cursor.