Selama setahun terakhir, model AI mutakhir telah menunjukkan kemampuannya untuk menemukan dan mengeksploitasi kerentanan keamanan. Tim Chris Rohlf kini meneliti bagaimana model-model ini dapat memperkuat pertahanan siber melalui analisis dan pengurangan attack surface secara otomatis: menggunakan AI untuk memetakan kode yang dapat dijangkau, lalu menghapus atau membatasi akses ke apa pun yang tidak perlu diekspos oleh suatu deployment.
Pendekatan ini penting karena menemukan dan memperbaiki kerentanan secara individual sulit diskalakan. Memperbaiki satu bug kritis tidak memberi tahu apa pun tentang kerentanan yang masih tersisa. Sebaliknya, mengurangi keterjangkauan kode menurunkan tingkat keparahan kerentanan yang belum diketahui, termasuk yang sedang aktif dieksploitasi. Cacat yang mendasarinya tidak dihapus, tetapi menjadi lebih sulit dijangkau. Meminimalkan attack surface suatu basis kode meningkatkan keamanan tanpa harus menemukan atau memperbaiki kerentanan tertentu.
Perangkat lunak cenderung menjadi semakin rumit seiring waktu karena abstraksi, dependensi, dan fitur terus bertambah, sering kali membuatnya berperilaku berbeda dari yang dimaksudkan pengembangnya. Penyerang memanfaatkan celah ini dengan mempelajari cara kode benar-benar berperilaku. Teknik otomatis bertujuan memindahkan kode yang terekspos tanpa perlu ke balik gerbang yang sesuai, misalnya dari sebelum autentikasi ke sesudah autentikasi, dari zero-click ke one-click, atau dari aktif secara default menjadi opt-in secara eksplisit.
Para peneliti berfokus pada tiga metode: mengidentifikasi kode yang dapat dijangkau dalam konfigurasi defaultnya yang tidak pernah dibutuhkan oleh fungsionalitas default, menemukan pasangan opsi yang menimbulkan masalah ketika dikonfigurasi bersamaan, dan menemukan kode yang kompleks dan sensitif terhadap keamanan yang berjalan sebelum autentikasi atau transisi status protokol. Di 25 proyek yang mewakili lebih dari lima juta baris kode, Claude menemukan 493 masalah. Hasilnya menunjukkan bahwa pengembang dapat menerapkan teknik serupa pada kode mereka sendiri untuk meningkatkan keamanan secara ekonomis.
Sumber: Hacker News · Diringkas oleh HeadlinesBriefing