Güvenlik topluluğu, Tenable tarafından geliştirilen ve şu anda Github’da incelenebilen bir dizi prototip aracın piyasaya sürülmesiyle, araştırma çabalarında faydalı bir araç olarak hareket etmek üzere üretken yapay zekanın (AI) potansiyelini keşfetmeye davet ediliyor. .
başlıklı bir ek raporda Üretken yapay zeka, güvenlik araştırmalarını nasıl değiştiriyor?firmanın araştırma ekibi, tersine mühendislik, kod hata ayıklama, web uygulama güvenliği ve bulut tabanlı araçlarda görünürlük alanlarında verimlilik oluşturmak için üretken yapay zeka uygulamalarıyla nasıl deneyler yaptığını paylaşıyor.
Kendisini bir “maruz kalma yönetimi” şirketi olarak tanımlayan Tenable, OpenAI’nin en son üretken önceden eğitilmiş trafo modeli GPT-4’e dayalı araçlar gibi araçların potansiyel olarak artık “orta düzey bir güvenlik araştırmacısı” ile aynı yeteneklere sahip olduğunu söyledi. .
Ancak, Tenable güvenlik müdahalesi ve sıfır gün araştırması direktörü Ray Carney’nin raporun önsözünde açıkladığı gibi, OpenAI bile GPT-4’ün önceki GPT modelleriyle benzer sınırlamalara sahip olduğunu, özellikle de modelin deneyimlerinin bir sonucu olarak ortaya çıkan güvenilirlik ve önyargılar konusunda, kabul ediyor. nasıl eğitildiği, eksik ve kusurlu eğitim verileri ve modelin geliştiricileri arasındaki bilişsel önyargılar.
Buna ek olarak, modeli sorgulayan kişilerin bilişsel önyargılarının da dikkate alınması gerektiğini söyledi – doğru soruları sormak, kişinin doğru yanıt alma olasılığının “en kritik faktörü” haline geliyor.
Carney, bunun güvenlik araştırmacılarıyla ilgili olduğunu, çünkü bu tür insanların rolünün karar vericilere zamanında ve doğru veriler sunmak olduğunu söyledi.
“Bu hedefin peşinde koşan analist, sağlam, sağlam temellere dayanan analitik yargılar üretmek için eksik ve belirsiz veri koleksiyonlarını işlemeli ve yorumlamalıdır” diye yazdı. “Uzun yıllar ve birçok başarısızlık boyunca, analitik topluluk, yanlış olma riskini azaltmaya ve en aza indirmeye ve yanlış bilgilendirilmiş kararlardan kaçınmaya yardımcı olan, genellikle ‘yapılandırılmış analitik teknikler’ olarak adlandırılan bir dizi araç geliştirdi.
Carney, “OpenAI tarafından GPT-4 duyurusunda verilen uyarılar, bu tekniklerin uygulanması için güçlü bir argüman oluşturuyor” diye devam etti. “Aslında, siber güvenlik alanında gelecekteki modelleri eğitmek için iyi rafine edilmiş bir veri kümesini ancak bu tür tekniklerin uygulanması yoluyla üreteceğiz.
“Bu tür teknikler, araştırmacıların istemlerini bu modeller için ayarladıklarından, doğru soruları sorduklarından emin olmalarına da yardımcı olacak” dedi. “Bu arada, güvenlik araştırmacıları, araştırmacılara ve analistlere, konu uzmanlıklarını gerektiren daha zor sorulara zaman ayırmaları için zaman kazandırmak üzere daha sıradan görevler için üretken yapay zeka yeteneklerinden nasıl yararlandığımızı araştırmaya devam edebilir. bağlam.”
Buldukları ilk aracın adı G-3PO. Bu araç, gizliliği kaldırıldığından ve 2010’larda geniş çapta kullanıma sunulduğundan beri araştırmacılar arasında kalıcı bir favori haline gelen NSA tarafından geliştirilen Ghidra tersine mühendislik çerçevesine dayanmaktadır. Derleme dili listelerine ikili ayrıştırma, kontrol akış grafiklerini yeniden yapılandırma ve derleme listelerini en azından koda benzeyen bir şeye geri derleme dahil olmak üzere bir dizi önemli işlevi yerine getirir.
Bununla birlikte, Ghidra’yı kullanmak için, derlenmiş kodu orijinal derleme listesiyle karşılaştırarak, yorumlar ekleyerek ve değişkenlere ve işlevlere tanımlayıcı adlar atayarak titizlikle analiz edebilmeniz gerekir.
Burada G-3PO, işlevin ne yaptığına dair bir açıklama ve açıklayıcı değişken adları için öneriler elde etmek üzere derlenmiş kodu büyük bir dil modeli (LLM) aracılığıyla çalıştırarak asayı alır.
Tenable, bu işlevselliğin bir mühendisin “önce her satırı deşifre etmek zorunda kalmadan kodun işlevselliği hakkında hızlı, üst düzey bir anlayış kazanmasına” olanak sağlayacağını söyledi. Daha sonra, daha derin analiz için kodun en ilgili bölgelerine odaklanabilirler.
Diğer araçlardan ikisi, Pwndbg için AI ve GEF için AI, iki popüler GNU Hata Ayıklayıcı (GDB) uzantı çerçevesi olan Pwndbg ve GEF için eklenti görevi gören kod hata ayıklama yardımcılarıdır. Bu etkileşimli araçlar, bir araştırmacının hata ayıklama bağlamını keşfetmesine yardımcı olabilecek kayıtlar, yığın değerleri, geri izleme, derleme ve derlenmiş kod gibi çeşitli veri noktalarını alır. Araştırmacının tek yapması gereken ona “burada neler oluyor?” gibi sorular sormaktır. veya “bu işlev savunmasız görünüyor mu?”
Tenable, bu araçların, hata ayıklamayla ilişkili dik öğrenme eğrisinde gezinme sorununu çözmeye yardımcı olacağını ve GDB’yi, araştırmacıların ham hata ayıklama verilerini deşifre etmeye gerek kalmadan temelde neler olup bittiğini tartışabilecekleri daha diyaloglu bir arayüze dönüştüreceğini söyledi. Araç hiçbir şekilde kusursuz değil, ancak karmaşıklığı ve zamanı azaltmada umut verici sonuçlar verdi ve Tenable, bunun bir eğitim kaynağı olarak da kullanılabileceğini umuyor.
Sunulan diğer araçlar arasında, araştırmacıların HTTP isteklerini ve yanıtlarını analiz etmek için GPT’yi kullanmasına izin veren bir Burp Suite uzantısı olan BurpGPT ve bulut ortamları için kimlik ve erişim yönetimi (IAM) ilkelerindeki yanlış yapılandırmaları araştıran yapay zeka destekli bir araç olan EscalateGPT yer alıyor. kuruluşlar arasında en yaygın ve gözden kaçan endişelerden biridir ve olası yükseltme fırsatlarını ve hafifletmeleri belirlemek için GPT’yi kullanır.
Gümüş kaplama
Tenable, tehdit aktörlerinin üretici yapay zekadan kendilerinin yararlanacağının beklendiğini ve güvenilir, yapay zeka ile yazılmış kötü amaçlı yazılım tehdidinin fark edilmesinin muhtemelen an meselesi olduğunu, ancak bunda bir umut ışığı olduğunu söyledi. savunucuların üretken yapay zekadan da yararlanmaları için hala “yeterli fırsat”.
Gerçekten de, günlük ayrıştırma, anormallik tespiti, öncelik belirleme ve olay yanıtı gibi bazı açılardan üstünlük bile sağlayabilirler.
Araştırma ekibi, “Yapay zekayı güvenlik araştırması araçlarına uygulama yolculuğumuzun yalnızca başlangıcında olsak da, bu LLM’lerin sağladığı benzersiz yeteneklerin hem saldırganlar hem de savunucular için derin etkiler yaratmaya devam edeceği açıktır” diye yazdı.