A lo largo del último año, los modelos de IA de vanguardia han demostrado que pueden descubrir y explotar vulnerabilidades de seguridad. El equipo de Chris Rohlf explora ahora cómo estos modelos pueden fortalecer la defensa cibernética mediante el análisis y la reducción automatizados de la superficie de ataque: usar la IA para mapear el código alcanzable y, después, eliminar o restringir el acceso a todo lo que un despliegue no necesita exponer.
El enfoque es importante porque encontrar y corregir vulnerabilidades individuales escala mal. Corregir un error crítico no dice nada sobre las vulnerabilidades que siguen existiendo. En cambio, reducir la alcanzabilidad del código disminuye la gravedad de las vulnerabilidades desconocidas, incluidas las que se están explotando activamente. Los defectos subyacentes no se eliminan, pero se vuelven más difíciles de alcanzar. Minimizar la superficie de ataque de una base de código mejora la seguridad sin tener que encontrar o corregir una vulnerabilidad específica.
El software tiende a volverse más complejo con el tiempo a medida que se acumulan abstracciones, dependencias y funciones, lo que a menudo hace que se comporte de forma distinta a como pretendían sus desarrolladores. Los atacantes explotan esta brecha estudiando cómo se comporta realmente el código. Las técnicas automatizadas buscan trasladar el código expuesto innecesario tras una barrera adecuada, por ejemplo, pasarlo de antes de la autenticación a después de la autenticación, de 0 clics a 1 clic, o de activado por defecto a activación explícita.
Los investigadores se centraron en tres métodos: identificar el código alcanzable en su configuración predeterminada que la funcionalidad por defecto nunca necesita, encontrar pares de opciones que causan problemas cuando se configuran juntas, y localizar código complejo y sensible a la seguridad que se ejecuta antes de la autenticación o de una transición de estado del protocolo. En 25 proyectos que representan más de cinco millones de líneas de código, Claude descubrió 493 problemas. Los resultados sugieren que los desarrolladores pueden aplicar técnicas similares a su propio código para mejorar la seguridad de forma económica.
Fuente: Hacker News · Resumido por HeadlinesBriefing