谷歌与DeepMind合作，利用AI模型“Big Sleep”成功在SQLite数据库中发现并修复了一个内存安全漏洞。这是一个栈缓冲下溢问题，传统模糊测试未能发现，而Big Sleep却成功找到了它。这标志着AI首次在真实世界软件中发现已知漏洞，为软件安全领域带来了新的可能性，也预示着AI辅助软件安全检测的未来发展方向。 Downcodes小编将为您详细解读这一突破性进展。
SQLite 作为一种开源数据库引擎，这一漏洞可能使攻击者通过恶意构造的数据库或SQL 注入，导致SQLite 执行崩溃或什至实现任意代码执行。具体来说，问题源于一个魔法值-1意外被用作数组索引，虽然代码中有assert （） 来捕获这一问题，但在发布版本中，该调试级别的检查会被移除。
谷歌指出，利用这一漏洞并不简单，然而更重要的是，这是AI 首次在真实世界软件中发现已知漏洞。根据谷歌的说法，传统的模糊测试（fuzzing）方法未能找到这个问题，但Big Sleep 的确做到了。经过分析项目源代码的一系列提交，Big Sleep 在10月初锁定了这个漏洞，并在同一天内得到了修复。
谷歌在11月1日的公告中表示，这一研究成果在防御方面有着巨大的潜力。虽然模糊测试已经有了显着的成效，但谷歌团队认为需要一种新方法来帮助开发者发现那些难以通过模糊测试找到的漏洞，他们对AI 在这方面的能力充满期待。
在此之前，位于西雅图的Protect AI 公司也推出了一款名为Vulnhuntr 的开源工具，声称可以利用Anthropic 的Claude AI 模型在Python 代码库中发现零日漏洞。然而，谷歌团队强调，这两个工具的用途不同，Big Sleep 发现的是与内存安全相关的漏洞。
目前，Big Sleep 仍处于研究阶段，之前主要在已知漏洞的小型程序上进行测试。此次则是其首次在真实环境下进行实验。为了进行测试，研究团队收集了SQLite 代码库的几个最新提交，并在分析后，调整了模型的提示内容，最终找到了这个漏洞。
尽管取得了这一成就，谷歌团队提醒大家，这些结果仍然属于高度实验性阶段，当前目标特定的模糊测试在发现漏洞方面可能同样有效。
谷歌AI模型Big Sleep在软件安全领域的突破性进展，为未来的软件安全检测提供了新的思路和方法。虽然目前仍处于实验阶段，但其潜力巨大，值得期待。 Downcodes小编将持续关注这一领域的发展，为您带来更多精彩报道。