Acronis SCS und führende Akademiker entwickeln gemeinsam ein AI-basiertes Risikobewertungsmodell

Das US-amerikanische Cyberschutzunternehmen Acronis SCS hat sich mit führenden Akademikern zusammengeschlossen, um Software mithilfe künstlicher Intelligenz (KI) zu verbessern. Die Zusammenarbeit entwickelte ein KI-basiertes Risikobewertungsmodell, das in der Lage ist, Software-Code-Vulnerabilitäten quantitativ zu bewerten.

Das neue Modell zeigte während seiner ersten Analysephase eine 41-prozentige Verbesserung bei der Erkennung von Common Vulnerabilities and Exposures (CVEs). Die folgenden Tests ergaben ebenfalls beeindruckende Ergebnisse, und Acronis SCS plant, das Modell nach dessen Fertigstellung zu veröffentlichen.

Software-Anbieter und öffentlicher Sektor

Eine der größten Vorteile dieser Technologie ist, dass sie von anderen Software-Anbietern und öffentlichen Sektor-Organisationen genutzt werden kann. Durch ihre Verwendung kann die Validierung der Software-Lieferkette verbessert werden, ohne Innovation oder kleine Unternehmen zu schädigen, und sie ist ein erschwingliches Werkzeug für diese Organisationen.

Das KI-basierte Modell von Acronis SCS basiert auf einem Deep-Learning-Neural-Netzwerk, das sowohl Open-Source- als auch proprietäre Quellcode scannet. Es kann unparteiische quantitative Risikowerte bereitstellen, die IT-Administratoren verwenden können, um genaue Entscheidungen über die Bereitstellung neuer Software-Pakete und die Aktualisierung bestehender Pakete zu treffen.

Das Unternehmen verwendet ein Sprachmodell, um Code einzubetten. Ein Sprachmodell ist eine Form des Deep Learning, die eine Einbettungsschicht mit einem rekurrenten Neural-Netzwerk (RNN) kombiniert. Up-Sampling-Techniken und Klassifizierungsalgorithmen wie Boosting, Random Forests und Neural Networks werden verwendet, um das Modell zu messen.

Dr. Joe Barr ist der Senior Director of Research bei Acronis SCS.

“Wir verwenden ein Sprachmodell, um Code einzubetten. Ein Sprachmodell ist eine Form des Deep Learning, die eine Einbettungsschicht mit einem rekurrenten Neural-Netzwerk (RNN) kombiniert”, erklärte Dr. Barr gegenüber Unite.AI.

“Die Eingabe besteht aus Funktionspaaren (Funktion, Tag) und die Ausgabe ist eine Wahrscheinlichkeit P(y=1 | x), dass eine Funktion anfällig für Hack-Angriffe (bugs) ist. Da positive Tags selten sind, verwenden wir verschiedene Up-Sampling-Techniken und Klassifizierungsalgorithmen (wie Boosting, Random Forests und Neural Networks). Wir messen die “Güte” durch ROC/AUC und einen Percentile-Lift (Anzahl der “bads” im oberen k-Percentil, k=1,2,3,4,5)”.

Effizienter Validierungsprozess

Eine weitere großartige Möglichkeit für diese Technologie ist ihre Fähigkeit, den Validierungsprozess erheblich effizienter zu machen.

“Die Validierung der Lieferkette, die in einen Validierungsprozess eingebettet ist, hilft dabei, fehlerhafte oder anfällige Code-Abschnitte zu identifizieren und den Validierungsprozess um mehrere Größenordnungen effizienter zu machen”, fuhr er fort.

Wie bei allen KI- und Software-Anwendungen ist es wichtig, potenzielle Risiken zu verstehen und anzugehen. Als er nach Risiken gefragt wurde, die speziell für Open-Source-Software (OSS) gelten, sagte Dr. Barr, dass es sowohl allgemeine als auch spezifische Risiken gebe.

“Es gibt allgemeine Risiken und spezifische Risiken”, sagte er. “Das allgemeine Risiko umfasst “unschuldige” Fehler im Code, die von einem bösartigen Akteur ausgenutzt werden können. Spezifische Risiken beziehen sich auf einen adversarialen Akteur (wie eine staatlich geförderte Agentur), der absichtlich Fehler in Open-Source-Software einfügt, um sie zu einem späteren Zeitpunkt auszunutzen”.

Die ersten Ergebnisse der Analyse wurden in der IEEE unter dem Titel “Combinatorial Code Classification & Vulnerability” veröffentlicht.