Yang terbaru kecerdasan buatan Model tidak hanya sangat pandai dalam rekayasa perangkat lunak—Tinar baru menunjukkan bahwa mereka semakin baik menemukan bug di perangkat lunak juga.
Peneliti AI di UC Berkeley menguji seberapa baik model dan agen AI terbaru dapat menemukan kerentanan dalam 188 basis kode sumber terbuka besar. Menggunakan a Benchmark Baru ditelepon Cybergymmodel AI mengidentifikasi 17 bug baru termasuk 15 yang sebelumnya tidak diketahui, atau “nol-day,”. “Banyak dari kerentanan ini sangat penting,” kata Dawn Song, seorang profesor di UC Berkeley yang memimpin pekerjaan itu.
Banyak ahli berharap model AI menjadi senjata keamanan siber yang tangguh. Alat AI dari Startup Xbow saat ini telah merayap di jajaran hackeronePapan peringkat untuk berburu bug dan saat ini duduk di tempat teratas. Perusahaan baru -baru ini mengumumkan pendanaan baru $ 75 juta.
Song mengatakan bahwa keterampilan pengkodean model AI terbaru yang dikombinasikan dengan peningkatan kemampuan penalaran mulai mengubah lanskap keamanan siber. “Ini adalah momen yang sangat penting,” katanya. “Ini sebenarnya melebihi harapan umum kita.”
Karena model terus meningkatkannya akan mengotomatiskan proses menemukan dan mengeksploitasi kelemahan keamanan. Ini dapat membantu perusahaan menjaga perangkat lunak mereka tetap aman tetapi juga dapat membantu peretas dalam membobol sistem. “Kami bahkan tidak berusaha keras,” kata Song. “Jika kami meningkatkan anggaran, memungkinkan agen untuk berlari lebih lama, mereka bisa melakukan yang lebih baik.”
Tim UC Berkeley menguji model AI perbatasan konvensional dari Openai, Google, dan Antropik, serta penawaran open source dari Meta, Deepseek, dan Alibaba dikombinasikan dengan beberapa agen untuk menemukan bug, termasuk Buka -Hand, CybenchDan Enigma.
Para peneliti menggunakan deskripsi kerentanan perangkat lunak yang diketahui dari 188 proyek perangkat lunak. Mereka kemudian memberi makan deskripsi kepada agen keamanan siber yang ditenagai oleh model AI Frontier untuk melihat apakah mereka dapat mengidentifikasi kelemahan yang sama untuk diri mereka sendiri dengan menganalisis basis kode baru, menjalankan tes, dan menyusun eksploitasi bukti konsep. Tim juga meminta agen untuk berburu kerentanan baru di basis kode sendiri.
Melalui proses tersebut, alat AI menghasilkan ratusan eksploitasi pembuktian konsep, dan dari eksploitasi ini para peneliti mengidentifikasi 15 kerentanan yang sebelumnya tidak terlihat dan dua kerentanan yang sebelumnya telah diungkapkan dan ditambal. Pekerjaan menambah bukti bahwa AI dapat mengotomatisasi penemuan kerentanan nol-hari, yang berpotensi berbahaya (dan berharga) karena mereka dapat memberikan cara untuk meretas sistem langsung.
AI tampaknya ditakdirkan untuk menjadi bagian penting dari industri keamanan siber. Pakar Keamanan Sean Heelan baru -baru ini ditemukan Kelemahan nol-hari dalam kernel Linux yang banyak digunakan dengan bantuan dari model penalaran Openai O3. November lalu, Google diumumkan bahwa ia telah menemukan kerentanan perangkat lunak yang sebelumnya tidak diketahui menggunakan AI melalui program yang disebut Project Zero.
Seperti bagian lain dari industri perangkat lunak, banyak perusahaan cybersecurity terpikat dengan potensi AI. Pekerjaan baru memang menunjukkan bahwa AI secara rutin dapat menemukan kelemahan baru, tetapi juga menyoroti batasan yang tersisa dengan teknologi. Sistem AI tidak dapat menemukan sebagian besar kekurangan dan bingung oleh yang sangat kompleks.
“Pekerjaan itu fantastis,” kata Katie Moussouris, pendiri dan CEO Luta Security, sebagian karena itu menunjukkan bahwa AI masih belum cocok dengan keahlian manusia – yang terbaik dari kombinasi model dan agen (Claude dan dan Openhands) hanya dapat menemukan sekitar 2 persen dari kerentanan. “Jangan ganti pemburu serangga manusia Anda,” kata Moussouris.
Moussouris mengatakan dia kurang khawatir tentang perangkat lunak peretasan AI daripada perusahaan yang berinvestasi terlalu banyak dalam AI dengan mengorbankan teknik lain.
Brendan Dolan-Gavitt, seorang profesor di New York University Tandon dan seorang peneliti di Xbow, mengatakan karya baru ini menunjukkan penemuan nol-hari yang realistis di sejumlah kode yang relatif besar menggunakan berbagai tugas bertenaga AI.
Dolan-Gavitt mengatakan dia berharap AI akan mengendarai serangan dalam serangan yang melibatkan eksploitasi nol-hari. “Itu jarang sekarang, karena ada sangat sedikit orang yang memiliki keahlian untuk menemukan kerentanan baru dan membangun eksploitasi untuk mereka,” katanya.
“Saya pikir hal-hal agen sangat menarik untuk penemuan nol-hari,” kata Hayden Smith, salah satu pendiri Hunted Labs, sebuah startup yang menyediakan berbagai alat termasuk beberapa menggabungkan AI untuk menganalisis kode untuk kelemahan. Smith menambahkan bahwa karena menjadi mungkin bagi lebih banyak orang untuk menemukan kerentanan dengan AI, akan lebih penting untuk memastikan bahwa kerentanan tersebut diungkapkan secara bertanggung jawab.
Di dalam Pekerjaan Diposting online di bulan MeiSong dan peneliti lain mengukur kapasitas untuk model AI untuk menemukan bug yang mendapatkan pembayaran tunai melalui imbalan bug-bounty. Upaya tersebut menunjukkan bahwa alat -alat ini berpotensi menghasilkan puluhan ribu dolar. Claude Code, dari Anthropic, paling sukses, menemukan bug senilai $ 1.350 di papan karunia bug dan merancang tambalan untuk kerentanan senilai $ 13.862 dengan biaya beberapa ratus dolar dalam panggilan API.
Di sebuah Posting blog di bulan AprilSong dan beberapa pakar keamanan AI lainnya memperingatkan bahwa model yang terus meningkat cenderung menguntungkan penyerang atas para pembela dalam waktu dekat. Ini bisa membuatnya sangat penting untuk melacak dengan cermat seberapa mampu alat -alat ini menjadi. Untuk tujuan ini, Song dan peneliti lain juga telah mendirikan AI Frontiers Cybersecurity Observatoryupaya kolaboratif yang akan melacak kemampuan model dan alat AI yang berbeda melalui beberapa tolok ukur. Di antara semua domain risiko AI, keamanan siber akan menjadi salah satu yang pertama yang bisa menjadi masalah besar, kata Song.
Bagaimana perasaan Anda tentang menggunakan alat AI untuk menguji kerentanan perangkat lunak? Apakah manfaatnya sepadan dengan risiko memudahkan peretas juga? Beri tahu saya di komentar di bawah, atau email saya di hello@wired.com.
