Au cours de l'année écoulée, les modèles d'IA de pointe ont démontré leur capacité à découvrir et à exploiter des failles de sécurité. L'équipe de Chris Rohlf étudie désormais comment ces modèles peuvent renforcer la cyberdéfense grâce à l'analyse et à la réduction automatisées de la surface d'attaque : utiliser l'IA pour cartographier le code accessible, puis supprimer ou restreindre l'accès à tout ce qu'un déploiement n'a pas besoin d'exposer.
Cette approche est importante, car trouver et corriger des vulnérabilités individuelles passe mal à l'échelle. Corriger un bogue critique ne dit rien des vulnérabilités qui subsistent. En revanche, réduire l'accessibilité du code diminue la gravité des vulnérabilités inconnues, y compris celles qui sont activement exploitées. Les failles sous-jacentes ne sont pas supprimées, mais elles deviennent plus difficiles à atteindre. Minimiser la surface d'attaque d'une base de code améliore la sécurité sans qu'il soit nécessaire de trouver ou de corriger une vulnérabilité précise.
Les logiciels tendent à se complexifier avec le temps, à mesure que s'accumulent abstractions, dépendances et fonctionnalités, ce qui les conduit souvent à se comporter différemment de ce qu'avaient prévu leurs développeurs. Les attaquants exploitent cet écart en étudiant le comportement réel du code. Les techniques automatisées visent à placer le code exposé inutilement derrière une barrière appropriée, par exemple en le déplaçant de la phase précédant l'authentification vers la phase suivant l'authentification, de zéro clic à un clic, ou d'une activation par défaut à un opt-in explicite.
Les chercheurs se sont concentrés sur trois méthodes : identifier le code accessible dans sa configuration par défaut dont la fonctionnalité par défaut n'a jamais besoin, repérer des paires d'options qui posent problème lorsqu'elles sont configurées ensemble, et localiser du code complexe et sensible à la sécurité qui s'exécute avant l'authentification ou une transition d'état de protocole. Sur 25 projets représentant plus de cinq millions de lignes de code, Claude a découvert 493 problèmes. Les résultats suggèrent que les développeurs peuvent appliquer des techniques similaires à leur propre code pour améliorer la sécurité de manière économique.
Source: Hacker News · Résumé par HeadlinesBriefing