पिछले एक वर्ष में, फ्रंटियर AI मॉडलों ने दिखाया है कि वे सुरक्षा कमज़ोरियों की खोज और उनका शोषण कर सकते हैं। Chris Rohlf की टीम अब यह पता लगा रही है कि ये मॉडल स्वचालित अटैक सरफेस विश्लेषण और कमी के माध्यम से साइबर रक्षा को कैसे मज़बूत कर सकते हैं: AI का उपयोग करके पहुँच योग्य कोड का मानचित्रण करना, और फिर किसी भी ऐसी चीज़ को हटाना या उस तक पहुँच सीमित करना जिसे किसी डिप्लॉयमेंट को उजागर करने की आवश्यकता नहीं है।
यह दृष्टिकोण इसलिए महत्वपूर्ण है क्योंकि अलग-अलग कमज़ोरियों को खोजना और ठीक करना बड़े पैमाने पर अच्छी तरह नहीं चलता। एक गंभीर बग को ठीक करने से यह पता नहीं चलता कि कौन-सी कमज़ोरियाँ अभी भी बाकी हैं। इसके विपरीत, कोड की पहुँच योग्यता घटाने से अज्ञात कमज़ोरियों की गंभीरता कम होती है, जिनमें वे भी शामिल हैं जिनका सक्रिय रूप से शोषण हो रहा है। अंतर्निहित दोष हटते नहीं, लेकिन उन तक पहुँचना कठिन हो जाता है। किसी कोडबेस के अटैक सरफेस को न्यूनतम करने से किसी विशिष्ट कमज़ोरी को खोजे या ठीक किए बिना सुरक्षा बेहतर होती है।
समय के साथ सॉफ़्टवेयर अधिक जटिल होता जाता है, क्योंकि अमूर्तताएँ, निर्भरताएँ और फीचर जुड़ते रहते हैं, जिससे वह अक्सर अपने डेवलपर्स के इरादे से अलग व्यवहार करने लगता है। हमलावर इस अंतर का फायदा उठाते हैं, यह अध्ययन करके कि कोड वास्तव में कैसे व्यवहार करता है। स्वचालित तकनीकों का लक्ष्य अनावश्यक उजागर कोड को उपयुक्त द्वार के पीछे ले जाना है, जैसे प्री-ऑथेंटिकेशन से पोस्ट-ऑथेंटिकेशन में, 0-क्लिक से 1-क्लिक में, या डिफ़ॉल्ट-ऑन से स्पष्ट ऑप्ट-इन में।
शोधकर्ताओं ने तीन तरीकों पर ध्यान केंद्रित किया: डिफ़ॉल्ट कॉन्फ़िगरेशन में पहुँच योग्य उस कोड की पहचान करना जिसकी डिफ़ॉल्ट कार्यक्षमता को आवश्यकता नहीं होती, ऐसे विकल्प-युग्म खोजना जो एक साथ कॉन्फ़िगर किए जाने पर समस्याएँ पैदा करते हैं, और ऑथेंटिकेशन या प्रोटोकॉल स्टेट ट्रांज़िशन से पहले चलने वाले जटिल, सुरक्षा-संवेदनशील कोड का पता लगाना। पाँच मिलियन से अधिक लाइनों के कोड का प्रतिनिधित्व करने वाली 25 परियोजनाओं में, Claude ने 493 समस्याएँ खोजीं। परिणाम बताते हैं कि डेवलपर अपने कोड पर भी इसी तरह की तकनीकें लगाकर किफ़ायती ढंग से सुरक्षा बढ़ा सकते हैं।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित