Google i Big Sleep: Autonomiczne wykrywanie luk bezpieczeństwa coraz bliżej

Google poinformowało o przełomowym osiągnięciu w dziedzinie cyberbezpieczeństwa, prezentując Big Sleep – system bazujący na dużych modelach językowych (LLM), zdolny do autonomicznego wykrywania luk bezpieczeństwa. Heather Adkins, wiceprezes Google ds. bezpieczeństwa, ogłosiła odkrycie 20 podatności w popularnym oprogramowaniu open source przez ten algorytm. Big Sleep, opracowany we współpracy DeepMind z zespołem Project Zero, zidentyfikował błędy między innymi w bibliotekach takich jak FFmpeg i ImageMagick.

Chociaż Google nie ujawnia jeszcze szczegółów dotyczących stopnia zagrożenia czy charakteru wykrytych luk – co jest standardową praktyką w oczekiwaniu na ich załatanie – sam fakt odkrycia ich przez AI jest znaczący. Podkreśla to rosnącą skuteczność narzędzi opartych na sztucznej inteligencji w identyfikacji zagrożeń. Kluczowe jest przy tym włączenie ludzkiej ekspertyzy w procesie raportowania. Jak zaznaczyła Kimberly Samra, rzeczniczka Google, każdy raport jest weryfikowany przez człowieka, jednak same luki są znajdywane i reprodukowane przez agenta AI bez bezpośredniej interwencji.

Royal Hansen, wiceprezes Google ds. inżynierii, określił to odkrycie mianem „nowej granicy w zautomatyzowanym wykrywaniu podatności”. Big Sleep nie jest jedynym przykładem tego trendu. Na rynku istnieją już inne narzędzia LLM, takie jak RunSybil i XBOW, które również wykazują zdolności w tym zakresie. XBOW, na przykład, zdobyło rozgłos, osiągając szczyt rankingów na platformie HackerOne.

Vlad Ionescu, współzałożyciel i CTO RunSybil, startupu rozwijającego podobne technologie, ocenia projekt Big Sleep jako „legitny”. Wskazuje na solidne podstawy, doświadczenie Project Zero w znajdowaniu błędów oraz moc obliczeniową DeepMind jako czynniki sukcesu. To połączenie sił pozwala na efektywne wykorzystanie potencjału AI w tak złożonej dziedzinie, jaką jest bezpieczeństwo cybernetyczne.

Jednak, jak w przypadku każdej innowacji opartej na AI, pojawiają się również wyzwania. Branża cyberbezpieczeństwa spotyka się z doniesieniami o fałszywych alarmach generowanych przez algorytmy, zwanych potocznie „halucynacjami AI”. Niektórzy eksperci porównują je do „szlamu AI” w kontekście bug bounty. Ionescu podkreśla, że choć generowane raporty początkowo mogą wyglądać obiecująco, często okazują się bezwartościowe. Ta kwestia wymaga dalszych badań i udoskonaleń, aby narzędzia AI mogły w pełni sprostać oczekiwaniom w zakresie wiarygodnego wykrywania luk bezpieczeństwa.