Vulnhuntr Yapay Zeka Aracı, Tek Bir Düğme Tıklamasıyla Büyük Ölçekte Sıfır Günü Keşfedecek

Açık kaynaklı projelerdeki güvenlik açıklarının keşfedilme biçiminde devrim yaratan Vulnhuntr adlı yeni bir yapay zeka aracı tanıtıldı.

Bu yenilikçi araç, uzaktan istismar edilebilir 0 günlük güvenlik açıkları da dahil olmak üzere karmaşık, çok adımlı güvenlik açıklarını benzeri görülmemiş bir verimlilik ve doğrulukla bulmak ve açıklamak için büyük dil modellerinin (LLM’ler) gücünden yararlanır.

Koruma AI tarafından geliştirilen Vulnhuntr, 10.000’den fazla GitHub yıldızıyla popüler projelerdeki güvenlik açıklarını ortaya çıkarma konusunda şimdiden önemli ilerlemeler kaydetti.

Vulnhuntr 0 Günü Tespit Edecek

Yalnızca birkaç saatlik çalışma süresinde, tam gelişmiş Uzaktan Kod Yürütme (RCE) güvenlik açıkları da dahil olmak üzere bir düzineden fazla 0 günlük güvenlik açığı keşfetti. Bu keşifler gpt_academic, ComfyUI, FastChat ve Ragflow gibi projelerdeki güvenlik açıklarını içeriyor.

How to Choose an ultimate Managed SIEM solution for Your Security Team -> Download Free Guide (PDF)

Vulnhuntr’ın başarısının anahtarı, LLM’yi birden fazla tam dosyayla doldurmak yerine, kodu küçük, yönetilebilir parçalara ayırma yeteneğinde yatmaktadır.

Bu yaklaşım, kod tabanı üzerinde cerrahi müdahaleler gerçekleştirmesine olanak tanıyarak hatalı pozitifleri ve yanlış negatifleri önemli ölçüde azaltır.

Vulnhuntr, kodu bir döngü içinde analiz edip yeniden analiz ederek, kullanıcı girişinden sunucu çıkışına kadar olan tüm yolu haritalandırarak, her bir güvenlik açığı için ayrıntılı son analizler, kavram kanıtı istismarları ve güven derecelendirmeleri sağlar.

Koruma yapay zekası, Vulnhuntr’un en iyi uygulamalar, hızlı mühendislik uygulamaları, XML tabanlı istemler, düşünce zinciri yönlendirmeleri ve önceden doldurulmuş yanıtlar dahil olmak üzere gelişmiş istem mühendisliği tekniklerinin, potansiyel güvenlik açıkları hakkında ayrıntılı raporlar üretmek için LLM’ye bir dizi mantıksal adım boyunca rehberlik ettiğini söyledi.

Bu yaklaşım, tüm projenin kod değerini, hata avcılarının güvenlik açıklarını ararken odaklanması gereken birkaç basit işleve daraltarak son derece doğru sonuçlar verdi.

Vulnhuntr’un şu anda yalnızca Python’u desteklemesi ve yalnızca etkili, uzaktan istismar edilebilir güvenlik açıklarına odaklanması gibi sınırlamaları olsa da potansiyeli çok büyük.

Aracın, kullanıcı girişi çağrı zincirinin tamamını oluşturma ve mantıksal olarak anlama yeteneği, onu mevcut nesil statik kod analizörlerine göre çarpıcı bir gelişme haline getiriyor.

Vulnhuntr ile güvenlik açığı avcılığının geleceği umut verici görünüyor. LLM’ler gelişmeye devam ettikçe, bağlam pencerelerinin milyonlarca hatta sonsuz token’a kadar genişleyerek statik kod ayrıştırmayı daha az gerekli hale getirmesi muhtemeldir.

Bununla birlikte, sonsuz bağlam pencerelerinde bile, kodun statik analiz yoluyla manuel olarak ayrıştırılmasıyla çağrı zinciri kodunun kullanıcı girişinden sunucu çıkışına beslenmesi, güvenlik açığı avcılığında yanlış negatifleri ve yanlış pozitifleri büyük ölçüde sınırlayacaktır.

Vulnhuntr’u test etmek isteyenler için araca https://huntr.com adresinden ulaşılabilir. Bu araç, hızla gelişen açık kaynak yapay zeka ekosisteminin güvenliğinin sağlanmasına yardımcı olan bir yapay zeka hata ödül programıdır. Kullanıcılar, yapay zeka ekosisteminin güvenliğinin sağlanmasına yardımcı olmak amacıyla Vulnhuntr’u kullanarak ödeme alabilirler.

Vulnhuntr, güvenlik açığı keşfi alanında önemli bir ilerlemeyi temsil ediyor. Yenilikçi yaklaşımı ve gelişmiş hızlı mühendislik teknikleri, onu karmaşık, çok adımlı güvenlik açıklarını bulmak ve açıklamak için güçlü bir araç haline getiriyor.

Yapay zeka ekosistemi büyümeye devam ettikçe Vulnhuntr gibi araçlar bunun güvence altına alınmasında çok önemli bir rol oynayacak. Bu araç GitHub’dan indirilebilir.

Vulnhuntr’un Temel Özellikleri:

• Gelişmiş İstem Mühendisliği: Potansiyel güvenlik açıkları hakkında ayrıntılı raporlar üretmek için Yüksek Lisans’a bir dizi mantıksal adım boyunca rehberlik eder.
• LLM Destekli Çağrı Zinciri Araması: Kullanıcı girişinden sunucu çıkışına kadar tüm yolu haritalandırmak için kodu bir döngü içinde analiz eder ve yeniden analiz eder.
• Statik Kod Ayrıştırma: İlgili kod parçacıklarını bulmak için bir Python statik analizörü kullanarak yanlış pozitifleri ve yanlış negatifleri azaltır.
• Python’a destek: Şu anda Python’u desteklemektedir ve gelecekte diğer dillere de genişletilmesi planlanmaktadır.
• Etkili Güvenlik Açıklarına Odaklanma: RCE, LFI, SSRF, XSS, IDOR ve SQLi dahil olmak üzere özel olarak uzaktan yararlanılabilen güvenlik açıklarına odaklanır.

Vulnhuntr Nasıl Kullanılır:

1. Temel Kullanım: Koşmak vulnhuntr.py -r /path/to/target/repo uzak kullanıcı girişini ayrıştıran dosyaları otomatik olarak analiz etmek için.
2. Hedeflenen Kullanım: Koşmak vulnhuntr.py -r /path/to/target/repo -a subfolder/file.py uzak kullanıcı girişini ayrıştıran veya sunucu işlevselliğini gerçekleştiren belirli dosyaları analiz etmek için.

Free Webinar on How to Protect Small Businesses Against Advanced Cyberthreats -> Watch Here