Google представи AI агента CodeMender – той самостоятелно отстранява уязвимостите в софтуера

Лабораторията DeepMind на Google публикува резултатите от работата на CodeMender – своя агент, базиран на изкуствен интелект. Той може самостоятелно да идентифицира, поправя и пренаписва уязвим код, за да предотврати бъдещи експлойти в софтуера.

Както пише SiliconANGLE, CodeMender се основава на предишни проекти на DeepMind за търсене на уязвимости, по-специално на проекта за анализ на сигурността на софтуера с отворен код OSS-Fuzz и на системата Big Sleep, като съчетава интелигентността на AI моделите Gemini с усъвършенствани техники за анализ на софтуера. Основната цел на проекта е автономно отстраняване и поправяне на сложни грешки в мащабни бази от кодове.

Въпреки че проектът все още е в изследователска фаза, CodeMender вече е изпратил 72 поправки на сигурността в проекти с отворен код, включително такива, които надхвърлят 4,5 милиона реда код. Според компанията AI агентът позволява на разработчиците да се съсредоточат върху създаването на качествен софтуер, като автоматично генерира и прилага надеждни поправки за сигурност.

Системата е проектирана така, че да бъде едновременно реактивна и проактивна: тя не само незабавно отстранява откритите уязвимости, но и пренаписва съществуващия код, като елиминира цели класове грешки. Като пример изследователите от DeepMind посочват работата на AI агента с библиотеката за компресиране на изображения libwebp, която е била използвана при атаката за iOS през 2023 година. Агентът е приложил към нея анотации -fbounds-safety, след което, твърдят изследователите, подобни уязвимости с препълване на буфера са станали „невъзможни завинаги“.

Вътрешната архитектура на CodeMender включва набор от инструменти: статичен и динамичен анализ, fuzzing, символно изпълнение и така наречения „LLM judge“, който проверява дали предложените промени запазват първоначалната функционалност.

Системата е способна да се самокоригира, ако по време на процеса на валидиране бъде открит проблем. Всички промени се проверяват за коректност, съответствие със стандартите за стил и липса на регресия, преди да бъдат изпратени. DeepMind подчертава, че CodeMender все още е изследователски проект и всички генерирани от него кръпки се проверяват от изследователи, преди да бъдат изпратени на проекти.

След като бъде пуснат в действие, инструментът ще предложи различен подход от традиционните методи, като статичен анализ и поетапна проверка, които откриват уязвимости, но все още разчитат в голяма степен на експертния опит на проверяващия. Новият подход ще промени системата, в която изкуственият интелект може самостоятелно да идентифицира и отстранява грешки – критична стъпка, тъй като размерът и сложността на съвременните бази от кодове нарастват експоненциално.