Google в сотрудничестве с DeepMind успешно обнаружил и исправил уязвимость безопасности памяти в базе данных SQLite, используя модель искусственного интеллекта «Big Sleep». Это проблема переполнения буфера стека, которую традиционное фазз-тестирование не смогло обнаружить, но Big Sleep успешно ее обнаружил. Это первый случай, когда ИИ обнаружил известные уязвимости в реальном программном обеспечении, открывая новые возможности в области безопасности программного обеспечения и предвещая будущее направление развития обнаружения безопасности программного обеспечения с помощью ИИ. Редактор Downcodes подробно объяснит этот прорывной прогресс.
SQLite — это ядро базы данных с открытым исходным кодом. Эта уязвимость может позволить злоумышленнику вызвать сбой выполнения SQLite или даже добиться выполнения произвольного кода с помощью злонамеренно созданной базы данных или внедрения SQL. В частности, проблема возникает из-за того, что магическое значение -1 случайно используется в качестве индекса массива, и хотя в коде есть метод Assert() для устранения этой проблемы, в сборках выпуска эта проверка уровня отладки будет удалена.
Google отметил, что эксплуатировать эту уязвимость непросто, но, что более важно, это первый случай, когда ИИ обнаружил известную уязвимость в реальном программном обеспечении. По данным Google, традиционные методы фаззинга не смогли обнаружить проблему, но Big Sleep смог. Проанализировав серию коммитов в исходном коде проекта, Big Sleep в начале октября заблокировала уязвимость, и она была исправлена в тот же день.
В заявлении Google от 1 ноября говорится, что этот результат исследования имеет огромный потенциал в обороне. Хотя фазз-тестирование дало значительные результаты, команда Google считает, что необходим новый метод, который поможет разработчикам обнаружить уязвимости, которые трудно обнаружить с помощью фазз-тестирования, и они полны ожиданий от возможностей ИИ в этом отношении.
До этого базирующаяся в Сиэтле компания Protect AI также запустила инструмент с открытым исходным кодом под названием Vulnhuntr, утверждая, что он может использовать модель Claude AI от Anthropic для поиска уязвимостей нулевого дня в базах кода Python. Однако команда Google подчеркнула, что эти два инструмента служат разным целям и что Big Sleep обнаружил уязвимости, связанные с безопасностью памяти.
В настоящее время Big Sleep все еще находится на стадии исследования и в основном тестировался на небольших программах с известными уязвимостями. Это первый раз, когда он был протестирован в реальных условиях. Для тестирования исследовательская группа собрала несколько последних коммитов базы кода SQLite, после анализа скорректировала содержимое подсказки модели и, наконец, обнаружила уязвимость.
Несмотря на это достижение, команда Google напоминает всем, что эти результаты все еще являются экспериментальными, и текущее фазз-тестирование для конкретных целей может быть столь же эффективным при обнаружении уязвимостей.
Революционный прогресс модели искусственного интеллекта Google Big Sleep в области безопасности программного обеспечения открывает новые идеи и методы для будущего обнаружения безопасности программного обеспечения. Хотя он все еще находится на экспериментальной стадии, его потенциал огромен, и его стоит с нетерпением ждать. Редактор Downcodes продолжит уделять внимание развитию этой области и предлагать вам еще больше интересных отчетов.