به گزارش کارگروه شبکههای اجتماعی سایبربان؛ محققان گوگل اعلام کردند که اولین آسیب‌پذیری را با استفاده از یک مدل زبانی بزرگ کشف کرده‌اند.
در یک پست وبلاگی، گوگل عنوان کرد که این باگ اولین نمونه عمومی از ابزار هوش مصنوعی است که یک مشکل ایمنی حافظه قابل بهره‌برداری قبلی ناشناخته را در نرم‌افزارهای دنیای واقعی که به طور گسترده استفاده می‌شود، پیدا می‌کند.
این آسیب‌پذیری در «SQLite»، یک موتور پایگاه داده منبع‌باز و محبوب در میان توسعه‌دهندگان، یافت شد.
محققان گوگل اوایل اکتبر سال جاری این آسیب‌پذیری را به توسعه‌دهندگان SQLite گزارش کردند که در همان روز آن را برطرف کردند. این مشکل قبل از اینکه در یک نسخه رسمی ظاهر شود، پیدا شد و بر کاربران SQLite تأثیری نداشت. گوگل از این توسعه به عنوان نمونه‌ای از «پتانسیل عظیم هوش مصنوعی برای مدافعان سایبری» استقبال کرد.
آنها گفتند :
«ما فکر می‌کنیم که این کار پتانسیل دفاعی فوق‌العاده ای دارد. پیدا کردن آسیب‌پذیری‌ها در نرم‌افزار حتی قبل از انتشار، به این معنی است که فرصتی برای رقابت مهاجمان وجود ندارد : این آسیب‌پذیری‌ها قبل از اینکه مهاجمان حتی فرصت استفاده از آنها را داشته باشند، برطرف می‌شوند.»
این تلاش بخشی از پروژه‌ای به نام «Big Sleep» است که با همکاری «Google Project Zero» و «Google DeepMind» انجام شده و متعلق به یک پروژه گذشته است که کار روی تحقیقات آسیب‌پذیری را با کمک مدل‌های زبانی بزرگ آغاز کرده بود.
گوگل اشاره کرد که در کنفرانس امنیتی «DEFCON» در ماه اوت امسال، محققان امنیت سایبری که وظیفه ایجاد ابزارهای تحقیقاتی آسیب‌پذیری به کمک هوش مصنوعی را داشتند، مشکل دیگری را در SQLite کشف کردند که تیم آنها را تشویق کرد تا ببینند آیا می‌توانند آسیب‌پذیری جدی‌تری پیدا کنند.
بسیاری از شرکت‌ها مانند گوگل از فرآیندی به نام «فازینگ» استفاده می‌کنند که در آن نرم‌افزار با تغذیه تصادفی یا نامعتبر داده‌های طراحی شده برای شناسایی آسیب‌پذیری‌ها، ایجاد خطا یا از کار افتادن برنامه آزمایش می‌شود.
اما گوگل گفت که این فرآیند برای کمک به مدافعان در یافتن اشکالات دشوار (یا غیرممکن) کافی نیست و آنها امیدوارند که هوش مصنوعی بتواند این شکاف را کاهش دهد.
کارشناسان گوگل اظهار داشتند :
«ما معتقدیم که این یک مسیر امیدوارکننده برای در نهایت تغییر جدول و دستیابی به برتری نامتقارن برای مدافعان است. این آسیب‌پذیری به خودی خود بسیار جالب است، همراه با این واقعیت که زیرساخت‌های آزمایشی موجود برای SQLite (هم از طریق OSS-Fuzz و هم از طریق زیرساخت پروژه) این مشکل را پیدا نکردند، بنابراین ما تحقیقات بیشتری انجام دادیم.»
گوگل ادامه داد که یکی از انگیزه‌های اصلی Big Sleep، مشکل مداوم انواع آسیب پذیری است. یکی از نگران‌کننده‌ترین مشکلاتی که گوگل در سال 2022 پیدا کرد، این واقعیت بود که بیش از 40 درصد از روزهای صفر مشاهده شده، انواع آسیب‌پذیری‌هایی بودند که قبلاً گزارش شده بودند.
محققان افزودند که بیش از 20 درصد از باگ‌ها انواع روزهای صفر قبلی در طبیعت بودند.
گوگل اعلام کرد که به کشف اکسپلویت برای انواع آسیب‌پذیری‌هایی که قبلاً پیدا و پچ شده‌اند، ادامه می‌دهد.
آنها خاطرنشان کردند :
«با ادامه این روند، واضح است که فازینگ در دستگیری چنین گونه‌هایی موفق نیست و برای مهاجمان، تجزیه و تحلیل دستی روشی مقرون به صرفه است. ما همچنین احساس می‌کنیم که این کار تجزیه و تحلیل گونه‌ای برای مدل‌های زبانی بزرگ فعلی نسبت به مشکل عمومی‌تر تحقیق آسیب‌پذیری باز مناسب‌تر است. با ارائه یک نقطه شروع - مانند جزئیات یک آسیب‌پذیری که قبلاً ثابت شده - ما بسیاری از ابهامات را از تحقیقات آسیب‌پذیری حذف و از یک تئوری مشخص و مستدل شروع می‌کنیم : این یک اشکال قبلی بود. احتمالاً مشابه دیگری در جایی وجود دارد.»
آنها هشدار دادند که این پروژه هنوز در مراحل اولیه است و آنها فقط از برنامه‌های کوچک با آسیب‌پذیری‌های شناخته شده برای ارزیابی پیشرفت استفاده می‌کنند. در حالیکه این لحظه اعتبار و موفقیت برای تیم = است، آنها تکرار کردند که این نتایج بسیار تجربی است.
وقتی ابزارهای مناسب ارائه شود، مدل‌های زبانی بزرگ فعلی می‌توانند تحقیقات آسیب‌پذیری را انجام دهند.
موضع تیم Big Sleep این است که در حال حاضر، این احتمال وجود دارد که یک فرد خاص که فازینگ انجام می‌دهد، حداقل به همان اندازه (در یافتن آسیب‌پذیری‌ها) مؤثر باشد. کارشناسان امیدوار هستند که در آینده این تلاش به مزیت قابل توجهی برای مدافعان منجر شود - با پتانسیل نه تنها برای یافتن موارد تست تصادف، بلکه برای ارائه تجزیه و تحلیل ریشه‌ای با کیفیت بالا، تریاژ و رفع مشکلات می‌تواند بسیار ارزان‌تر باشد.
کیسی الیس (Casey Ellis)، بنیانگذار «Bugcrowd»، گفت که تحقیقات مدل زبانی بزرگ امیدوارکننده است. این کار از نقاط قوت نحوه آموزش مدل‌های زبانی بزرگ استفاده و برخی کاستی‌های فازی را پر می‌کند و مهم‌تر از همه، تقلید از اقتصاد و تمایل به خوشه‌بندی تحقیقاتی تحقیقات امنیتی در دنیای واقعی است.
