Capital One açıq mənbəli VulnHunter AI vasitəsini təqdim etdi: Proqram təhlükəsizliyində yeni dövr

Capital One, VulnHunter adlı açıq mənbəli, agentik AI təhlükəsizlik vasitəsini təqdim etdi. Bu alət mənbə kodundakı istismar edilə bilən zəiflikləri aşkar edir, hücumçunun onlara necə çata biləcəyini xəritələşdirir və hədəflənmiş düzəlişlər təklif edir. Vasitə GitHub üzərində Apache 2.0 lisenziyası altında yayımlandı və böyük bir maliyyə qurumunun hücum AI qabiliyyətlərini ictimai müdafiə resursuna çevirmək cəhdlərindən biridir. VulnHunter, Capital Onun daxili komandası tərəfindən hazırlanmış və indi ictimaiyyətə açılmış bir alətdir. Təhlükəsizlik qrupları yeni AI təhdidlərinin artan dalğası ilə üzləşdiyi bir vaxtda, Capital Onun bu aləti açıq mənbə etməsi, CISO Chris Nimsə görə, "qabaqcıl nəsil AI hücum qabiliyyətlərinin demək olar ki, hər bir düşmən üçün əlçatan və sərfəli olmasından əvvəlki getdikcə qısalır zaman pəncərəsi"nə cavab vermək cəhdidir. Capital One sadəcə başqa bir zəiflik skaneri buraxmır. VulnHunter "hücumçu öncəli irəli analiz" adlı bir iş axını təqdim edir. Bu iş axınında alət, real bir hücumçunun sistemə daxil olacağı nöqtələrdən, məsələn API-lər, şəbəkə mesajları və ya fayl yükləmələri kimi yerlərdən başlayır və tətbiqin məntiqi vasitəsilə irəliyə doğru düşünərək, exploit yolunun kodun mövcud müdafiə mexanizmlərindən keçib-keçmədiyini müəyyən edir. Adi skanerlər adətən tərsinə işləyir, təhlükəli görünən kod nümunəsini işarələyir və sonra hipotetik bir hücumçu üçün geriyə doğru axtarış aparır. Təhlükəsizlik mütəxəssisləri etiraf edirlər ki, bu yanaşma mühəndis komandalarını yanlış pozitivlərin seli altında basdırır. VulnHunter bu problemi birbaşa həll etmək üçün ikinci bir yenilik təqdim edir: daxili "yalanlama mexanizmi". Bu mexanizm, alət potensial bir zəifliyi aşkar etdikdən sonra, onu təkzib etməyə çalışır. Strukturlaşdırılmış bir düşüncə iş axını, məntiqi boşluqları, dəstəklənməyən fərziyyələri və hücumun uğur qazanmasına mane olacaq şərtləri axtarır. Yalnız mexanizmin təkzib edə bilmədiyi tapıntılar insan mütəxəssisə çatır. Bu yanaşma, təhlükəsizlik komandalarının vaxtını və resurslarını daha səmərəli istifadə etməyə imkan verir, çünki yanlış pozitivlərin sayı əhəmiyyətli dərəcədə azalır.