CodeMender: Ο νέος AI agent της Google ενισχύει την ασφάλεια

Η Google παρουσίασε τον CodeMender, έναν νέο AI-powered agent που αυτόματα βελτιώνει την ασφάλεια του λογισμικού εντοπίζοντας και διορθώνοντας ευπάθειες. Αυτή η πρωτοβουλία αντιμετωπίζει το αυξανόμενο χάσμα μεταξύ της ταχείας, υποβοηθούμενης από AI, ανακάλυψης ελαττωμάτων ασφαλείας και της χρονοβόρας χειροκίνητης προσπάθειας που απαιτείται για την επιδιόρθωσή τους.

Αξιοποιώντας προηγμένη τεχνητή νοημοσύνη, ο CodeMender όχι μόνο αντιδρά σε νέες απειλές, αλλά και προληπτικά ανασυντάσσει τον υπάρχοντα κώδικα για να εξαλείψει ολόκληρες κατηγορίες ευπαθειών. Στους πρώτους έξι μήνες, το project έχει ήδη βοηθήσει σε 72 επιδιορθώσεις ασφαλείας σε διάφορα open-source projects (κάποια με codebases μεγέθους έως και 4,5 εκατομμυρίων γραμμών).

Δείτε επίσης: Goοgle Opal: Το AI vibe-coding app σε 15 επιπλέον χώρες

Η ανάπτυξη αυτή έρχεται καθώς εργαλεία AI, όπως το Big Sleep και το OSS-Fuzz της Goοgle, επιταχύνουν την ανακάλυψη ευπαθειών zero-day, δημιουργώντας έναν όγκο επιδιορθώσεων που είναι δύσκολα διαχειρίσιμος από προγραμματιστές.

Google AI Agent CodeMender

Ο CodeMender λειτουργεί ως αυτόνομος agent που υποστηρίζεται από τα μοντέλα Gemini Deep Think της Goοgle. Είναι εξοπλισμένος με μια σειρά από εξελιγμένα εργαλεία που του επιτρέπουν να αναλύει λογισμικό, να διορθώνει πολύπλοκα ζητήματα και να επικυρώνει τις δικές του αλλαγές.

Αυτό διασφαλίζει ότι οποιαδήποτε προτεινόμενη επιδιόρθωση είναι σωστή και δεν εισάγει νέα προβλήματα ή regressions. Η συνολική προσέγγιση του agent συνδυάζει την αντιδραστική επιδιόρθωση νέων ευπαθειών με την προληπτική αναγραφή κώδικα για την υιοθέτηση πιο ασφαλών πρακτικών.

Δείτε επίσης: Η Goοgle διορθώνει σοβαρές ευπάθειες του Chrome

Για να εντοπίσει την πραγματική προέλευση ενός ελαττώματος ασφαλείας, ο CodeMender χρησιμοποιεί προηγμένες τεχνικές ανάλυσης προγραμμάτων, συμπεριλαμβανομένων της στατικής και δυναμικής ανάλυσης, του fuzzing και του differential testing.

Για παράδειγμα, σε μια περίπτωση που αφορούσε heap buffer overflow crash, ο agent κοίταξε πέρα από το άμεσο σφάλμα και εντόπισε τη ρίζα του προβλήματος ως λανθασμένο stack management στοιχείων XML κατά το parsing. Στη συνέχεια, σχεδίασε μια αποτελεσματική επιδιόρθωση. Το σύστημα χρησιμοποιεί, επίσης, εξειδικευμένα συστήματα multi-agent, συμπεριλαμβανομένου ενός LLM-based critique tool που αναλύει τροποποιήσεις κώδικα για να αποτρέψει regressions. Ταυτόχρονα, επιτρέπει στον agent να αυτοδιορθώνεται.

Πέρα από τη διόρθωση μεμονωμένων σφαλμάτων, ο CodeMender έχει σχεδιαστεί για να ενισχύει προληπτικά τα codebases έναντι μελλοντικών επιθέσεων. Σε μια σημαντική εφαρμογή, ο agent αναπτύχθηκε στο libwebp image compression library. Εφάρμοσε συστηματικά -fbounds-safety annotations, μια λειτουργία ασφαλείας που προσθέτει ελέγχους ορίων στον κώδικα. Σύμφωνα με την Goοgle, αυτό το μοναδικό μέτρο θα είχε καταστήσει την περιβόητη ευπάθεια libwebp (CVE-2023-4863), η οποία χρησιμοποιήθηκε σε zero-click iOS exploit, μη εκμεταλλεύσιμη.

Δείτε επίσης: Το νέο Gemini της Google χρησιμοποιεί τον browser όπως εσείς

Ενώ τα πρώτα αποτελέσματα είναι ενθαρρυντικά, η Google προχωρά με προσοχή, διασφαλίζοντας ότι κάθε επιδιόρθωση που δημιουργείται από AI εξετάζεται από ανθρώπους – ερευνητές πριν υποβληθεί. Ο απώτερος στόχος είναι η βελτίωση του συστήματος και η κυκλοφορία του ως δημόσιο εργαλείο για όλους τους προγραμματιστές λογισμικού. Αυτό σηματοδοτεί ένα σημαντικό βήμα στη χρήση της AI για την ενίσχυση της ασφάλειας του λογισμικού. Η Gοogle σχεδιάζει να μοιραστεί περισσότερες λεπτομέρειες σε τεχνικά έγγραφα και αναφορές τους επόμενους μήνες.