在过去一年中,前沿AI模型已经表明它们能够发现并利用安全漏洞。Chris Rohlf的团队现在探索这些模型如何通过自动化攻击面分析与缩减来加强网络防御:利用AI绘制可达代码的映射,然后移除或限制对部署所不需要暴露的任何内容的访问。
这种方法之所以重要,是因为逐个发现和修复漏洞的方式难以规模化。修复一个严重漏洞并不能说明仍然存在哪些漏洞。相比之下,降低代码可达性可以降低未知漏洞的严重程度,包括那些正在被积极利用的漏洞。底层缺陷并未被消除,但它们变得更难被触及。缩减代码库的攻击面可以提升安全性,而无需发现或修复某个具体漏洞。
随着抽象层、依赖项和功能不断累积,软件往往变得越来越复杂,常常使其行为偏离开发者的预期。攻击者正是利用这一差距,通过研究代码的实际行为来发起攻击。自动化技术旨在将不必要的暴露代码移至适当的门禁之后,例如从身份验证前移至身份验证后,从零点击改为单次点击,或从默认开启改为明确选择开启。
研究人员聚焦于三种方法:识别在默认配置下可达、而默认功能并不需要的代码;找出在一起配置时会引发问题的选项组合;以及定位在身份验证或协议状态转换之前运行的复杂且对安全敏感的代码。在代表超过五百万行代码的25个项目中,Claude发现了493个问题。结果表明,开发者可以将类似技术应用于自己的代码,以经济高效的方式提升安全性。
来源: Hacker News · 由HeadlinesBriefing整理摘要