“Η ανίχνευση 0-day με την χρήση της AI είναι εδώ”, υποστηρίζει μια νέα δημοσίευση στο ZeroPath, που ανήκει σε κατασκευαστές μιας εφαρμογής στο GitHub που “εντοπίζει, επαληθεύει και εκδίδει pull requests για τρωτά σημεία ασφαλείας στον κώδικά σας”.
Αναφέρουν ότι η έρευνα για την ασφάλεια με τη βοήθεια της AI “προχωρά αθόρυβα” από τις αρχές του 2023, όταν ερευνητές της DARPA και το Artificial Intelligence Cyber Challenge της ARPA-H επέδειξαν τις πρώτες πρακτικές εφαρμογές ανίχνευσης ευπαθειών με LLM.
“Από τον Ιούλιο του 2024, το εργαλείο της ZeroPath αποκάλυψε κρίσιμα τρωτά σημεία 0-day — όπως απομακρυσμένη εκτέλεση κώδικα, παρακάμψεων ελέγχου ταυτότητας και ανασφαλείς άμεσες αναφορές αντικειμένων — σε δημοφιλείς πλατφόρμες τεχνητής νοημοσύνης και projects ανοιχτού κώδικα”.
Εντόπισε κενά ασφαλείας σε projects που ανήκουν στις εταιρείες Netflix, Salesforce και Hulu ” με μια νέα προσέγγιση που συνδυάζει βαθιά ανάλυση με αντιπάλους AI agents για επικύρωση. Η μεθοδολογία τους έχει αποκαλύψει πάρα πολλά κρίσιμα τρωτά σημεία σε συστήματα παραγωγής.
TL;DR — τα περισσότερα από αυτά τα σφάλματα είναι απλά και θα μπορούσαν να είχαν εντοπιστεί με έλεγχο στον κώδικα από κάποιον ερευνητή ασφάλειας ή σε ορισμένες περιπτώσεις, από σαρωτές. Το ιστορικό ζήτημα, ωστόσο, με την αυτοματοποίηση της ανακάλυψης αυτών των σφαλμάτων είναι ότι τα παραδοσιακά εργαλεία SAST που βασίζονται σε αντιστοίχιση μοτίβων και προκαθορισμένων κανόνων, χάνουν πολύπλοκα τρωτά σημεία που δεν ταιριάζουν σε γνωστά μοτίβα (π.χ. προβλήματα επιχειρηματικής λογικής, ελαττώματα ελέγχου ταυτότητας ή μη παραδοσιακά sinks όπως από εξαρτήσεις). Δημιουργούν επίσης υψηλό ποσοστό ψευδώς θετικών.
Η ομορφιά των LLM είναι ότι μπορούν να μειώσουν την ασάφεια στις περισσότερες περιπτώσεις που προκαλεί αχρηστία των σαρωτών ή λίγα ευρήματα κατά τη μαζική σάρωση αποθετηρίων ανοιχτού κώδικα.
“Πολλά τρωτά σημεία παραμένουν άγνωστα λόγω των συνεχιζόμενων προσπαθειών αποκατάστασης ή εκκρεμών διαδικασιών υπεύθυνης αποκάλυψης”, σύμφωνα με την ανάρτηση στο blog της ZeroPath, η οποία περιλαμβάνει ένα γράφημα που δείχνει τις μεγαλύτερες κατηγορίες ευπαθειών που ανακάλυψαν:
53%: Σφάλματα εξουσιοδότησης, όπως roken access control σε API endpoints και unauthorized Redis access
26%: Ζητήματα λειτουργίας αρχείων, όπως directory traversal στη φόρτωση της διαμόρφωσης και την μη ασφαλή χειρισμού αρχείων σε λειτουργίες upload.
16%: τρωτά σημεία εκτέλεσης κώδικα, όπως της εισαγωγής εντολών στην επεξεργασία αρχείων η της εισαγωγής κώδικα στις εντολές του συστήματος.
Ο CIO/συνιδρυτής της εταιρείας ήταν “πρώην Red Team στην Tesla”, σύμφωνα με το προφίλ της startup στο YCombinator, και κέρδισε πάνω από 100.000 $ σαν bug-bounty hunter. (Ο άλλος συνιδρυτής είναι πρώην μηχανικός ασφαλείας της Google.)
https://www.ycombinator.com/launches/LOk-zeropath-autonomous-vulnerability-patching
