Acronis SCS και Κύριοι Ακαδημαϊκοί Συνεργάστηκαν για την Ανάπτυξη Μοντέλου Βαθμολογίας Ρίσκου με βάση το AI

Η αμερικανική εταιρεία κυβερνοπροστασίας Acronis SCS συνεργάστηκε με εξέχοντες ακαδημαϊκούς για τη βελτίωση του λογισμικού μέσω της χρήσης τεχνητής νοημοσύνης (AI). Η συνεργασία ανέπτυξε ένα μοντέλο βαθμολογίας ρίσκου με βάση το AI, ικανό να αξιολογεί ποσοτικά την ευπάθεια του κώδικα λογισμικού.

Το νέο μοντέλο απέδειξε μια βελτίωση 41% στην ανίχνευση κοινοί ευπαθειών και εκθέσεων (CVEs) κατά τη διάρκεια του πρώτου σταδίου ανάλυσης. Οι επόμενες δοκιμές είχαν εξίσου εντυπωσιακά αποτελέσματα, και η Acronis SCS προτίθεται να μοιράσει το μοντέλο μετά την ολοκλήρωσή του.

Προμηθευτές Λογισμικού και Δημόριος Τομέας

Ένας από τους μεγαλύτερους προμηθευτές αυτής της τεχνολογίας είναι ότι μπορεί να χρησιμοποιηθεί από άλλους προμηθευτές λογισμικού και οργανισμούς του δημόριου τομέα. Μέσω της χρήσης του, η επαλήθευση της αλυσίδας εφοδιασμού λογισμικού μπορεί να βελτιωθεί χωρίς να επηρεάζει την καινοτομία ή τις ευκαιρίες για μικρές επιχειρήσεις, και είναι ένα προσιτό εργαλείο για αυτούς τους οργανισμούς.

Το μοντέλο με βάση το AI της Acronis SCS βασίζεται σε ένα sâu нейρωνικό δίκτυο που σαρώνει τόσο τον ανοιχτό κώδικα όσο και τον ιδιόκτητο κώδικα. Μπορεί να παρέχει αμερόληπτες ποσοτικές βαθμολογίες ρίσκου που οι διαχειριστές IT μπορούν να χρησιμοποιήσουν για να λάβουν ακριβείς αποφάσεις σχετικά με την ανάπτυξη νέων πακέτων λογισμικού και την ενημέρωση των υφιστάμενων.

Η εταιρεία χρησιμοποιεί μοντέλο γλώσσας για να ενσωματώσει τον κώδικα. Ένας τύπος βαθιάς μάθησης, το μοντέλο γλώσσας συνδυάζει ένα στρώμα ενσωμάτωσης με ένα αναδρομικό νευρωνικό δίκτυο (RNN). Τεχνικές υπερδειγμάτωσης και αλγόριθμοι ταξινόμησης όπως η ενίσχυση, τα τυχαία δάση και τα νευρωνικά δίκτυα χρησιμοποιούνται για να μετρηθεί το μοντέλο.

Ο Δρ. Joe Barr είναι ο Διευθυντής Έρευνας της Acronis SCS.

“Χρησιμοποιούμε μοντέλο γλώσσας για να ενσωματώσουμε τον κώδικα. Το μοντέλο γλώσσας είναι một μορφή βαθιάς μάθησης που συνδυάζει ένα στρώμα ενσωμάτωσης με αναδρομικό νευρωνικό δίκτυο (RNN),” είπε ο Δρ. Barr στην Unite.AI.

“Η είσοδος αποτελείται από ζευγάρια συναρτήσεων (συνάρτηση, ετικέτα) και η έξοδος είναι μια πιθανότητα P(y=1 | x) ότι μια συνάρτηση είναι ευάλωτη σε hack (σφάλμα). Επειδή οι θετικές ετικέτες είναι σπάνιες, χρησιμοποιούμε διάφορες τεχνικές υπερδειγμάτωσης και αλγόριθμους ταξινόμησης (όπως την ενίσχυση, τα τυχαία δάση και τα νευρωνικά δίκτυα). Μετράμε την «καλότητα» με ROC/AUC και μια百分τιά ανύψωση (αριθμός «κακών» στο επάνω k百分τιά, k=1,2,3,4,5).”

Αποτελεσματική Διαδικασία Επαλήθευσης

Μια άλλη μεγάλη ευκαιρία για αυτή τη τεχνολογία είναι η ικανότητά της να κάνει τη διαδικασία επαλήθευσης πολύ πιο αποτελεσματική.

“Η επαλήθευση της αλυσίδας εφοδιασμού, τοποθετημένη μέσα σε μια διαδικασία επαλήθευσης, θα βοηθήσει στην αναγνώριση ελαττωματικού/ευάλωτου κώδικα και θα κάνει τη διαδικασία επαλήθευσης πιο αποτελεσματική με πολλαπλάσια τάξεις μεγέθους,” συνέχισε.

Όπως και με όλα τα AI και το λογισμικό, είναι κρίσιμο να κατανοηθούν και να αντιμετωπιστούν οι πιθανές рисκ. Όταν ρωτήθηκε αν υπάρχουν рисκ που είναι ιδιαίτερα σχετικά με το ανοιχτό κώδικα λογισμικού (OSS), ο Δρ. Barr είπε ότι υπάρχουν και γενικά και ειδικά рисκ.

“Υπάρχουν γενικά και ειδικά рисκ,” είπε. “Το γενικό ρίσκο περιλαμβάνει «αθώα» σφάλματα στον κώδικα που μπορεί να εκμεταλλευτούν από έναν κακόβουλο actor. Τα ειδικά ρίσκα σχετίζονται με έναν ανταγωνιστικό actor (όπως μια κρατικά χρηματοδοτούμενη υπηρεσία) που εισάγει σκόπιμα σφάλματα στον ανοιχτό κώδικα για να εκμεταλλευτούν σε κάποιο σημείο.”

Τα αρχικά αποτελέσματα της ανάλυσης δημοσιεύθηκαν στο IEEE με τον τίτλο “Κατανομή Κώδικα και Ευπάθεια.”