Företaget Anthropic har meddelat att de har utökat AI-modellen Claude Opus 4.6:s möjligheter att hitta sÄrbarheter i kod och delat med sig av resultaten frÄn ett experiment dÀr över 500 tidigare okÀnda (0-dagars) sÄrbarheter i de senaste versionerna av olika öppna projekt har identifierats. Arbetet fokuserades pÄ att söka efter sÄrbarheter orsakade av minnesrelaterade problem, eftersom deras förekomst Àr lÀttare att verifiera. Samtliga identifierade sÄrbarheter har tilldelats en hög risknivÄ. Varje sÄrbarhet har manuellt kontrollerats och bekrÀftats av Anthropic-anstÀllda eller externa sÀkerhetsforskare.
För att analysera sÄrbarheterna anvÀndes kodbaser frÄn populÀra öppna projekt, som lÀnge har genomgÄtt kontinuerlig fuzzing-testning i tjÀnsten OSS-Fuzz. Till skillnad frÄn fuzzing-testning, dÀr en ström av olika slumpmÀssiga kombinationer av indata genereras, försökte AI-modellen analysera koden med hÀnsyn till tidigare rÀttningar för att identifiera liknande olösta fel, framhÀva problematiska mönster och logiskt resonera om vilka indata som kan störa körningen.
Information om de sÄrbarheter som identifierades under experimentet har redan börjat överföras till de som underhÄller projekten, med vilka samarbete bedrivs för att implementera korrigeringar. För att hjÀlpa underhÄllarna har manuellt utvecklade patchar skapats för att ÄtgÀrda de identifierade problemen under den genomförda granskningen. Som exempel ges tre sÄrbarheter i GhostScript, OpenSC och CGIF, som vid tidpunkten för publiceringen har ÄtgÀrdats av underhÄllarna.
Den konfiguration som anvĂ€ndes för att identifiera problemen skiljde sig frĂ„n traditionella system för automatiserad sĂ„rbarhetssökning â modellen Claude Opus 4.6 fick tillgĂ„ng till en virtuell maskin, dĂ€r förutom den undersökta koden typiska utvecklarverktyg (coreutils, Python och sĂ„ vidare) och verktyg för felsökning och analys av sĂ„rbarheter (inklusive verktyg för fuzzing-testning) installerades. Modellen fick ingen tydlig instruktion om hur dessa verktyg skulle anvĂ€ndas och ingen speciell information om sĂ„rbarhetssökningsmetoder. Modellen fick endast i uppdrag att sjĂ€lvstĂ€ndigt resonera kring den optimala anvĂ€ndningen av tillgĂ€ngliga verktyg.
I sökandet efter sÄrbarheter i GhostScript försökte AI-modellen först genomföra fuzzing-testning, men nÀr detta inte gav resultat, bytte den till kodanalys. Kodanalysen gav ocksÄ inget resultat, och dÄ började modellen studera historiken för Àndringar i git och i ett av commitarna noterade den nÀmningen av grÀnskontroll. Efter att ha granskat committen faststÀllde modellen att rÀttningen tillade en saknad grÀnskontroll vid hantering av typsnitt.
DÀrefter faststÀllde modellen koden som fanns före rÀttningen och försökte hitta andra stÀllen i koden dÀr den problematiska funktionen anvÀndes, utan att ha blivit rÀttad. Till slut identifierades ett anrop till funktionen gs_type1_blend utan validering av vÀrdena i filen gdevpsfx.c. I slutÀndan valde modellen innehÄllet i en fil vars hantering ledde till ett krasch pÄ grund av att data skrivits utanför det allokerade minnet.
I CGIF utgick AI-modellen frÄn det faktum att biblioteket vid uppackning av GIF-filer betraktade att storleken pÄ de komprimerade data alltid var mindre Àn de uppackade. Sökningen efter sÄrbarhet fokuserades pÄ att bestÀmma villkor under vilka de LZW-komprimerade data skulle visa sig vara större Àn de uppackade. Liknande villkor hittades, och AI-modellen lyckades skapa en GIT-fil vars hantering ledde till en buffertöverflöd. I OpenSC identifierades problemet efter analys av anvÀndningen av potentiellt farliga funktioner som strrchr och strcat.
Det noteras att sprÄkmodeller har nÄtt en nivÄ som möjliggör identifiering av tidigare okÀnda sÄrbarheter, och inom en snar framtid kommer de att övertrÀffa sÀkerhetsexperter i hastighet och omfattning av sÄrbarhetssökning. Det antas att den ökade mÀngden identifierade sÄrbarheter kommer att krÀva en reformering av de nuvarande processerna för informationsavisering, eftersom de nuvarande 90 dagarna för att ÄtgÀrda inget lÀngre kommer att vara tillrÀckliga.
KĂ€lla: opennet.ru
