Ανίχνευση 0-day με την χρήση της AI

“Η ανίχνευση 0-day με την χρήση της AI είναι εδώ”, υποστηρίζει μια νέα δημοσίευση στο ZeroPath, που ανήκει σε κατασκευαστές μιας εφαρμογής στο GitHub που “εντοπίζει, επαληθεύει και εκδίδει pull requests για τρωτά σημεία ασφαλείας στον κώδικά σας”.

Αναφέρουν ότι η έρευνα για την ασφάλεια με τη βοήθεια της AI “προχωρά αθόρυβα” από τις αρχές του 2023, όταν ερευνητές της DARPA και το Artificial Intelligence Cyber ​​Challenge της ARPA-H επέδειξαν τις πρώτες πρακτικές εφαρμογές ανίχνευσης ευπαθειών με LLM.

“Από τον Ιούλιο του 2024, το εργαλείο της ZeroPath αποκάλυψε κρίσιμα τρωτά σημεία 0-day — όπως απομακρυσμένη εκτέλεση , παρακάμψεων ελέγχου ταυτότητας και ανασφαλείς άμεσες αναφορές αντικειμένων — σε δημοφιλείς πλατφόρμες τεχνητής νοημοσύνης και ανοιχτού κώδικα”.

Εντόπισε κενά ασφαλείας σε projects που ανήκουν στις εταιρείες Netflix, Salesforce και Hulu ” με μια νέα προσέγγιση που συνδυάζει βαθιά ανάλυση με αντιπάλους AI agents για επικύρωση. Η μεθοδολογία τους έχει αποκαλύψει πάρα πολλά κρίσιμα τρωτά σημεία σε συστήματα παραγωγής.

TL;DR — τα περισσότερα από αυτά τα σφάλματα είναι απλά και θα μπορούσαν να είχαν εντοπιστεί με έλεγχο στον κώδικα από κάποιον ερευνητή ασφάλειας ή σε ορισμένες περιπτώσεις, από σαρωτές. Το ιστορικό ζήτημα, ωστόσο, με την αυτοματοποίηση της ανακάλυψης αυτών των σφαλμάτων είναι ότι τα παραδοσιακά SAST που βασίζονται σε αντιστοίχιση μοτίβων και προκαθορισμένων κανόνων, χάνουν πολύπλοκα τρωτά σημεία που δεν ταιριάζουν σε γνωστά μοτίβα (π.χ. προβλήματα επιχειρηματικής λογικής, ελαττώματα ελέγχου ταυτότητας ή μη παραδοσιακά sinks όπως από εξαρτήσεις). Δημιουργούν επίσης υψηλό ποσοστό ψευδώς θετικών.

Η ομορφιά των LLM είναι ότι μπορούν να μειώσουν την ασάφεια στις περισσότερες περιπτώσεις που προκαλεί αχρηστία των σαρωτών ή λίγα ευρήματα κατά τη μαζική σάρωση αποθετηρίων ανοιχτού κώδικα.

“Πολλά τρωτά σημεία παραμένουν άγνωστα λόγω των συνεχιζόμενων προσπαθειών αποκατάστασης ή εκκρεμών διαδικασιών υπεύθυνης αποκάλυψης”, σύμφωνα με την ανάρτηση στο blog της ZeroPath, η οποία περιλαμβάνει ένα γράφημα που δείχνει τις μεγαλύτερες κατηγορίες ευπαθειών που ανακάλυψαν:zeropath

53%: Σφάλματα εξουσιοδότησης, όπως roken access control σε API endpoints και unauthorized Redis access

26%: Ζητήματα αρχείων, όπως directory traversal στη φόρτωση της διαμόρφωσης και την μη ασφαλή χειρισμού αρχείων σε λειτουργίες upload.

16%: τρωτά σημεία εκτέλεσης κώδικα, όπως της εισαγωγής εντολών στην επεξεργασία αρχείων η της εισαγωγής κώδικα στις εντολές του συστήματος.

Ο CIO/συνιδρυτής της εταιρείας ήταν “πρώην Red Team στην Tesla”, σύμφωνα με το προφίλ της startup στο YCombinator, και κέρδισε πάνω από 100.000 $ σαν bug-bounty hunter. (Ο άλλος συνιδρυτής είναι πρώην ασφαλείας της Google.)

 

https://www.ycombinator.com/launches/LOk-zeropath-autonomous-vulnerability-patching

iGuRu.gr The Best Technology Site in Greeceggns

Get the best viral stories straight into your inbox!















Written by giorgos

Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ....

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).