Big Sleep w akcji: Google ujawnia detekcję luk bezpieczeństwa przez AI
Heather Adkins, wiceprezes Google ds. bezpieczeństwa, publicznie potwierdziła, że narzędzie znane jako Big Sleep, działające w oparciu o modele językowe (LLM), odkryło i zgłosiło 20 luk bezpieczeństwa. Zidentyfikowane błędy dotyczą głównie powszechnie używanego oprogramowania open source, w tym bibliotek multimedialnych, takich jak FFmpeg oraz pakietu do edycji obrazów ImageMagick.
Big Sleep, produkt wspólnych wysiłków wewnętrznego zespołu Google DeepMind oraz elitarnej grupy hakerskiej Project Zero, po raz pierwszy zaprezentowało swoje możliwości w praktycznym zastosowaniu. Chociaż szczegóły dotyczące wpływu i krytyczności poszczególnych luk pozostają nieujawnione – Google, zgodnie ze standardową praktyką, wstrzymuje się z ich publikacją do momentu wprowadzenia poprawek – sam fakt ich wykrycia przez system AI stanowi istotny przełom.
Kluczowym elementem w procesie weryfikacji jest interwencja człowieka. Jak zaznacza Kimberly Samra, rzeczniczka Google, przed finalnym zgłoszeniem każda luka jest weryfikowana przez ludzkiego eksperta. Niemniej jednak, to właśnie agent AI samodzielnie identyfikuje i reprodukuje błąd, co jak podkreśla Royal Hansen, wiceprezes Google ds. inżynierii, otwiera „nową granicę w automatyzacji odkrywania luk”.
Big Sleep nie jest jedynym przedsięwzięciem w tej dziedzinie. Na rynku pojawiają się inne narzędzia oparte na LLM, takie jak RunSybil czy XBOW, które również odnotowują sukcesy w odkrywaniu luk bezpieczeństwa, o czym świadczy m.in. pozycja XBOW na platformie HackerOne. Pomimo obiecujących rezultatów, technologia ta boryka się z problemami takimi jak „halucynacje” AI, skutkujące generowaniem fałszywych raportów o lukach. Vlad Ionescu, współzałożyciel i CTO firmy RunSybil, określa to zjawisko jako sytuację, w której „wygląda to na złoto, ale to tylko śmieć”.
Mimo tych wyzwań, projekt Big Sleep zbiera pozytywne opinie w branży. Eksperci, tacy jak Ionescu, doceniają jego solidne podstawy, kompetentny zespół Project Zero oraz zasoby DeepMind, widząc w nim uzasadniony kierunek rozwoju dla przyszłości cyberbezpieczeństwa.
