Zwykle do wykrycia luk w zabezpieczeniach systemu komputerowego potrzebny jest człowiek, ale wkrótce komputery mogą robić to samodzielnie. Działy Google Deep Mind i Project Zero połączyły siły, aby stworzyć nowy rodzaj modelu dużego języka (LLM), który może identyfikować luki w zabezpieczeniach, a model wykrył pierwsze krytyczne zagrożenie w silniku bazy danych SQLite o otwartym kodzie źródłowym.
Zespół Google pracował nad tym projektem od zeszłego roku, kiedy to stworzył pierwszą wersję narzędzia do wykrywania podatności znanego jako Naptime. Teraz model ten przekształcił się w Big Sleep, który według Google ma wykrywać warianty exploitów, które prześlizgnęły się obok ludzi i pojawiły się w środowisku naturalnym.
Generacyjna sztuczna inteligencja jest często spychana tam, gdzie nie powinna, ale w Google mówi to zadanie jest idealne dla LLM. Ten typ sztucznej inteligencji opiera się zasadniczo na losowości, która prowadzi do błędów znanych jako halucynacje. Otwarte badania nad podatnościami mogą w pewnym sensie skorzystać na LLM, ale zapewnienie modelowi solidnego punktu wyjścia jest lepszym zastosowaniem tej technologii. Dostarczając modelowi wcześniej naprawionych luk, model jest w stanie wyśledzić warianty tej luki.
Jak odkryli badacze bezpieczeństwa, gdy jest jeden błąd, prawdopodobnie istnieją inne podobne. Aby je znaleźć, zespoły ds. bezpieczeństwa często korzystają z techniki zwanej fuzzingiem. Pompowanie nieprawidłowych lub losowych danych do programu może spowodować awarię lub wyciek pamięci, który osoba atakująca może wykorzystać w celu uzyskania dostępu do systemu. Jednak sukces Big Sleep sugeruje, że fuzzowanie nie obejmuje wszystkich wariantów.
Firma Big Sleep zidentyfikowała lukę w przedpremierowej wersji SQLite — lukę polegającą na niedopełnieniu bufora stosu, którą może wykorzystać każdy doświadczony programista. Google poinformowało opiekunów SQLite w październiku, którym udało się opracować poprawkę tego samego dnia, zanim ostateczna wersja została udostępniona użytkownikom. To zwycięstwo dobrych chłopaków.
Zespół jest naprawdę podekscytowany odkryciem tej luki. Zdolność LLM do zidentyfikowania zauważalnej wady w popularnym, dobrze dopracowanym projekcie jest kamieniem milowym w badaniach nad sztuczną inteligencją i bezpieczeństwem. Zespół ma nadzieję, że przyszłe wersje Big Sleep pomogą w znalezieniu możliwych do wykorzystania awarii i przeprowadzeniu analizy przyczyn źródłowych — być może uda się nawet odkryć odrębne luki w zabezpieczeniach zamiast wariantów. Zespół Google zamierza nadal udostępniać tę pracę w miarę jej rozwoju.