За последний год передовые модели ИИ продемонстрировали способность обнаруживать и эксплуатировать уязвимости безопасности. Команда Криса Рольфа теперь изучает, как эти модели могут укрепить кибероборону с помощью автоматизированного анализа и сокращения поверхности атаки: использование ИИ для картирования достижимого кода с последующим удалением или ограничением доступа ко всему, что развертыванию не нужно открывать.
Этот подход важен, потому что поиск и исправление отдельных уязвимостей плохо масштабируется. Устранение одной критической ошибки ничего не говорит об уязвимостях, которые остаются. Напротив, сокращение достижимости кода снижает серьезность неизвестных уязвимостей, в том числе тех, которые активно эксплуатируются. Лежащие в основе недостатки не устраняются, но становятся труднее достижимыми. Минимизация поверхности атаки кодовой базы повышает безопасность без необходимости находить или исправлять конкретную уязвимость.
Со временем программное обеспечение обычно становится сложнее, поскольку накапливаются абстракции, зависимости и функции, из-за чего оно нередко ведет себя иначе, чем задумали разработчики. Злоумышленники используют этот разрыв, изучая реальное поведение кода. Автоматизированные методы стремятся поместить ненужный открытый код за соответствующий барьер, например перенести его из стадии до аутентификации в стадию после аутентификации, из режима «нулевого клика» в режим «одного клика» или из режима включения по умолчанию в режим явного включения.
Исследователи сосредоточились на трех методах: выявлении достижимого кода в конфигурации по умолчанию, который функциональность по умолчанию никогда не использует, поиске пар опций, которые вызывают проблемы при совместной настройке, и обнаружении сложного, чувствительного к безопасности кода, выполняющегося до аутентификации или перехода состояния протокола. В 25 проектах, охватывающих более пяти миллионов строк кода, Claude обнаружил 493 проблемы. Результаты свидетельствуют о том, что разработчики могут применять аналогичные методы к собственному коду, экономично повышая безопасность.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing