Η RevEng.AI συγκεντρώνει 15 εκατομμύρια δολάρια στη σειρά A για να ελέγξει την ασφάλεια και την ακεραιότητα του λογισμικού που παράγεται από την τεχνητή νοημοσύνη

Καθώς ο κώδικας που παράγεται από την τεχνητή νοημοσύνη γίνεται ολοένα και πιο ενσωματωμένος σε επιχειρηματικά και κυβερνητικά συστήματα, οι εταιρείες κυβερνοασφάλειας αγωνίζονται για να λύσουν ένα αυξανόμενο πρόβλημα εμπιστοσύνης: πώς οι οργανισμοί μπορούν να ελέγξουν τι πραγματικά εκτελείται μέσα στο λογισμικό που αναπτύσσουν. Η RevEng.AI ανακοίνωσε μια χρηματοδότηση 15 εκατομμυρίων δολαρίων στη σειρά A με επικεφαλής το ΝΑΤΟ Innovation Fund, με τη συμμετοχή των Sands Capital, In-Q-Tel, IQ Capital και Episode One. Η εταιρεία αναφέρει ότι η χρηματοδότηση θα βοηθήσει στην επέκταση της πλατφόρμας που έχει σχεδιαστεί για να αναλύει τις δυαδικές εκτελέσιμες αρχειοθήκες για κρυφές απειλές, κακόβουλη λειτουργικότητα και рисκες αλυσίδας εφοδιασμού λογισμικού.

Η εταιρεία με έδρα το Λονδίνο επικεντρώνεται σε μια αυξανόμενη πρόκληση στην κυβερνοασφάλεια: την αδυναμία των οργανισμών να ελέγξουν πλήρως το λογισμικό μια φορά που έχει μεταγλωττιστεί σε εκτελέσιμη μορφή. Τα παραδοσιακά εργαλεία ασφάλειας εφαρμογών επικεντρώνονται κυρίως στην ανάλυση του πηγαίου κώδικα, των αποθετηρίων και των μεταδεδομένων πακέτων. Όμως, οι δυαδικές εκτελέσιμες αρχειοθήκες που εκτελούνται πραγματικά στα συστήματα συχνά παραμένουν αδιαφανείς, ιδιαίτερα όταν ασχολούμαστε με λογισμικό τρίτων, firmware ή κλειστό λογισμικό.

Η Αυξανόμενη Επικινδυνότητα του Κώδικα που Παράγεται από την Τεχνητή Νοημοσύνη

Η βιομηχανία λογισμικού περνάει μια σημαντική μεταμόρφωση καθώς οι βοηθοί κώδικα της τεχνητής νοημοσύνης εξελίσσονται σε αυτονομούς παράγοντες κώδικα που μπορούν να παράγουν και να αναπτύξουν μεγάλες ποσότητες λογισμικού με ελάχιστη ανθρώπινη επιτήρηση. Αν και αυτή η μετατόπιση επιταχύνει τους κύκλους ανάπτυξης, δημιουργεί επίσης νέες κενές ασφάλειας.

Η RevEng.AI υποστηρίζει ότι οι οργανισμοί εισέρχονται σε μια εποχή όπου ένα μεγάλο μέρος του λογισμικού που αποστέλλεται μπορεί να μην ελεγχθεί ποτέ πλήρως από έναν άνθρωπο. Αυτό εισάγει ανησυχίες σχετικά με κρυφές ευπάθειες, ενσωματωμένη κακόβουλη λειτουργικότητα και μη προβλεπόμενες συμπεριφορές που μπορούν να παραμείνουν αόρατες μέσα στις εκτελέσιμες αρχειοθήκες.

Το πρόβλημα αυτό γίνεται ιδιαίτερα σημαντικό σε περιβάλλοντα όπου το λογισμικό τροφοδοτεί οικονομικά συστήματα, δίκτυα υγείας, ενεργειακές γραμμές, συστήματα μεταφοράς και αμυντικές επιχειρήσεις. Ένα προσβεβλημένο στοιχείο λογισμικού που είναι θαμμένο μέσα σε μια αλυσίδα εξαρτήσεων μπορεί να επηρεάσει потенτικά εκατομμύρια χρηστών ή να διαταράξει κρίσιμη υποδομή.

Οι επιθέσεις στην αλυσίδα εφοδιασμού λογισμικού έχουν ήδη γίνει μια από τις ταχύτερα αυξανόμενες απειλές κυβερνοασφάλειας παγκοσμίως. Συμβάντα υψηλού προφίλ τα τελευταία χρόνια έχουν δείξει πώς οι επιτιθέμενοι μπορούν να διεισδύσουν σε ενημερώσεις λογισμικού ή βιβλιοθήκες τρίτων για να αποκτήσουν ευρεία πρόσβαση σε επιχειρηματικά συστήματα. Η RevEng.AI προσπαθεί να αντιμετωπίσει αυτή την πρόκληση μεταφέροντας τις προσπάθειες επαλήθευσης απευθείας στο επίπεδο δυαδικού κώδικα.

Ανάλυση Λογισμικού Χωρίς Πηγαίο Κώδικα

Ένας από τους πιο αξιοσημείωτους аспектους της τεχνολογίας της RevEng.AI είναι ότι λειτουργεί χωρίς να απαιτεί πρόσβαση στον πηγαίο κώδικα. Αντίθετα, η πλατφόρμα λειτουργεί απευθείας στις δυαδικές εκτελέσιμες αρχειοθήκες, εκτελέσιμες αρχειοθήκες, firmware και άλλα μηχανικά αναγνώσιμα λογισμικά αρχεία.

Αυτή η προσέγγιση είναι σημαντική επειδή πολλές οργανώσεις βασίζονται κανονικά σε λογισμικό που αναπτύσσεται εξωτερικά από προμηθευτές, κοινότητες ανοιχτού κώδικα ή συμβασιούχους. Σε πολλές περιπτώσεις, ο αρχικός πηγαίος κώδικας μπορεί να μην είναι προσβάσιμος, πρακτικός για έλεγχο ή ακόμη και διαθέσιμος καθόλου.

Η πλατφόρμα της RevEng.AI χρησιμοποιεί ένα θεμελιώδες μοντέλο τεχνητής νοημοσύνης που ονομάζεται BinNet, το οποίο η εταιρεία αναφέρει ότι εκπαιδεύτηκε μαζί με ελίτ κυβερνομονάδες εντός συμμαχικών κυβερνήσεων και εμπορικών ομάδων ασφαλείας. Το σύστημα έχει σχεδιαστεί για να αυτοματοποιήσει εργασίες αντίστροφης μηχανικής που παραδοσιακά χειρίζονται εξειδικευμένοι εμπειρογνώμονες.

Εξετάζοντας τις δυαδικές εκτελέσιμες αρχειοθήκες απευθείας, η πλατφόρμα μπορεί να αναγνωρίσει κρυφά στοιχεία, ύποπτες αλλαγές έκδοσης, κακόβουλη συμπεριφορά, ευπάθειες και απρόσμενη λειτουργικότητα που είναι ενσωματωμένα μέσα στο λογισμικό πριν από την ανάπτυξή του.

Η εταιρεία αναφέρει ότι αυτό μειώνει δραματικά τον χρόνο και την εξειδίκευση που απαιτούνται για να ελεγχθεί η ακεραιότητα του λογισμικού με τον χέρι, ένα πεδίο που ιστορικά εξαρτάται από σπάνιους ταλέντο αντίστροφης μηχανικής.

Γιατί η Επαλήθευση στο Επίπεδο Δυαδικού Κώδικα έχει Σημασία

Πολλά από τα σημερινά εργαλεία κυβερνοασφάλειας εξακολουθούν να επικεντρώνονται γύρω από τις αποθήκες πηγαίου κώδικα και τις δηλωμένες εξαρτήσεις λογισμικού. Ωστόσο, η εκτελέσιμη δυαδική αρχειοθήκη που τελικά εκτελείται σε μια μηχανή μπορεί να διαφέρει σημαντικά από ότι οι οργανισμοί πιστεύουν ότι αναπτύσσουν.

Αυτή η διαφορά γίνεται ολοένα και πιο σημαντική καθώς τα συστήματα τεχνητής νοημοσύνης αρχίζουν να παράγουν λογισμικό αυτονομικά. Οι ομάδες ανάπτυξης μπορεί να μην κατανοούν πλήρως κάθε εξάρτηση, παράγωγο模块, ή ενσωματωμένη συμπεριφορά που περιλαμβάνεται μέσα στις εφαρμογές που βοηθούνται από την τεχνητή νοημοσύνη.

Η προσέγγιση της RevEng.AI αντιμετωπίζει αποτελεσματικά τη δυαδική εκτελέσιμη αρχειοθήκη ως την τελική πηγή αλήθειας. Αντί να βασίζεται μόνο στις δηλώσεις για το τι περιέχει το λογισμικό, η πλατφόρμα προσπαθεί να ελέγξει τι είναι πραγματικά παρόν μέσα στην εκτελέσιμη αρχειοθήκη που θα εκτελεστεί στα συστήματα παραγωγής.

Σύμφωνα με την εταιρεία, η πλατφόρμα μπορεί να συγκρίνει νέες εκδόσεις λογισμικού με έμπιστες εκδόσεις, να αναγνωρίσει ανώμαλη απόκλιση μεταξύ κατασκευών και να ανακαλύψει κρυφά ή μη δηλωμένα στοιχεία που μπορεί να έχουν εισαχθεί κατά τη διάρκεια της ανάπτυξης ή της ανάπτυξης.

Αυτού του είδους η επαλήθευση μπορεί να γίνει ιδιαίτερα σημαντική για τις οργανώσεις που διαχειρίζονται σύνθετες αλυσίδες εφοδιασμού λογισμικού που περιλαμβάνουν προμηθευτές τρίτων, συμβασιούχους, στοιχεία ανοιχτού κώδικα και κώδικα που παράγεται από την τεχνητή νοημοσύνη.

Το Μέλλον της Επαλήθευσης Λογισμικού

Η άνοδος των αυτονομών συστημάτων κωδικοποίησης είναι πιθανό να αναμορφώσει τον τρόπο με τον οποίο οι οργανισμοί σκέφτονται για την ασφάλεια και την εμπιστοσύνη του λογισμικού κατά τη διάρκεια της επόμενης δεκαετίας. Καθώς το λογισμικό που παράγεται από την τεχνητή νοημοσύνη γίνεται πιο κοινό, ο όγκος του κώδικα που εισέρχεται στα περιβάλλοντα παραγωγής μπορεί τελικά να υπερβεί αυτό που οι ανθρώπινοι ελεγκτές μπορούν να ελέγξουν πραγματικά με τον χέρι.

Αυτή η μετατόπιση μπορεί να ωθήσει την επαλήθευση στο επίπεδο δυαδικού κώδικα και την αυτοματοποιημένη αντίστροφη μηχανική σε一个 πιο κεντρικό ρόλο μέσα στις επιχειρηματικές επιχειρήσεις κυβερνοασφάλειας. Αντί να αντιμετωπίζουν την αντίστροφη μηχανική ως μια εξειδικευμένη дисциплина που είναι διατηρημένη για ελίτ ερευνητές ασφαλείας, οι οργανισμοί μπορεί να αρχίσουν να ενσωματώνουν την συνεχή έλεγχο δυαδικού κώδικα απευθείας στις ροές εργασιών ανάπτυξης, ανάπτυξης και ενημέρωσης λογισμικού.

Οι επιπτώσεις εκτείνονται πέρα από την παραδοσιακή κυβερνοασφάλεια. Βιομηχανίες όπως η υγεία, η finance, η ενέργεια, η μεταφορά, η производство και η άμυνα εξαρτώνται ολοένα και περισσότερο από διασυνδεμένα οικοσυστήματα λογισμικού όπου κρυφές ευπάθειες ή κακόβουλη λειτουργικότητα μπορούν να έχουν κασκαντίζουσες επιχειρησιακές συνέπειες.

Την ίδια στιγμή, η ταχεία υιοθέτηση των βοηθών κωδικοποίησης της τεχνητής νοημοσύνης μπορεί να δημιουργήσει πίεση για εντελώς νέες μορφές λογισμικού ευθύνης. Οι οργανισμοί μπορεί να απαιτήσουν τελικά ανεξάρτητες στρώματα επαλήθευσης που είναι ικανά να επικυρώσουν ότι το αναπτυγμένο λογισμικό συμπεριφέρεται όπως αναμένεται ανεξάρτητα από το πώς ή πού ο κώδικας παράχθηκε.

Καθώς η ανάπτυξη λογισμικού γίνεται ολοένα και περισσότερο αυτοματοποιημένη, οι τεχνολογίες που επικεντρώνονται στην έλεγχο των δυαδικών εκτελέσιμων αρχειοθηκών αντί να βασίζονται μόνο στην ανάλυση πηγαίου κώδικα μπορεί να γίνουν ένα σημαντικό μέρος του τρόπου με τον οποίο οι επιχειρήσεις ασφαλίζουν την επόμενη γενιά της υποδομής που οδηγείται από την τεχνητή νοημοσύνη.