Acronis SCS ja johtava tutkijoiden kumppani kehittämään tekoälyyn perustuvaa riskinarviointimallia

Yhdysvaltain kyberturvallisuusyritys Acronis SCS on tehnyt yhteistyötä johtavien tutkijoiden kanssa parantaakseen ohjelmistoja tekoälyn (AI) avulla. Yhteistyössä kehitettiin tekoälyyn perustuva riskipisteytysmalli, joka pystyy arvioimaan kvantitatiivisesti ohjelmistokoodin haavoittuvuutta. 

Uusi malli osoitti 41 %:n parannusta yleisten haavoittuvuuksien ja altistumisen (CVE) havaitsemisessa analyysin ensimmäisessä vaiheessa. Seuraavat testit johtivat yhtä vaikuttaviin tuloksiin, ja Acronis SCS:n on määrä jakaa malli sen valmistuttua. 

Ohjelmistotoimittajat ja julkinen sektori

Yksi tämän tekniikan suurimmista puolista on, että muut ohjelmistotoimittajat ja julkisen sektorin organisaatiot voivat hyödyntää sitä. Ohjelmistojen toimitusketjun validointia voidaan sen avulla parantaa ilman, että se vahingoittaa innovaatioita tai pienyritysten mahdollisuuksia, ja se on edullinen työkalu näille organisaatioille. 

Acronis SCS:n tekoälypohjainen malli perustuu syväoppivaan hermoverkkoon, joka skannaa sekä avoimen lähdekoodin että patentoidun lähdekoodin. Se voi tarjota puolueettomia kvantitatiivisia riskiytimiä, joita IT-järjestelmänvalvojat voivat sitten käyttää tehdessään tarkkoja päätöksiä, jotka koskevat uusien ohjelmistopakettien käyttöönottoa ja olemassa olevien ohjelmistopakettien päivittämistä. 

Yritys käyttää kielimallia koodin upottamiseen. Eräänlainen syväoppimisen kielimalli yhdistää upotuskerroksen toistuvaan hermoverkkoon (RNN). Mallin mittaamiseen käytetään up-sampling-tekniikoita ja luokittelualgoritmeja, kuten tehostusta, satunnaisia ​​metsiä ja neuroverkkoja. 

Dr. Joe Barr on Acronis SCS:n tutkimusjohtaja. 

"Käytämme kielimallia koodin upottamiseen. Kielimalli on syvän oppimisen muoto, joka yhdistää upotuskerroksen toistuvaan hermoverkkoon (RNN), tohtori Barr kertoi Unite.AI:lle. 

"Syöte koostuu funktiopareista (funktio, tag) ja ulostulona on todennäköisyys P(y=1 | x), että funktio on haavoittuvainen (buginen). Koska positiiviset tunnisteet ovat harvinaisia, käytämme erilaisia ​​näytteenottotekniikoita ja luokittelualgoritmeja (kuten tehostusta, satunnaisia ​​metsiä ja hermoverkkoja). Mittaamme "hyvyyden" ROC/AUC:lla ja prosenttipisteen nousulla ("huonojen" lukumäärä ylimmässä k-prosenttipisteessä, k=1,2,3,4,5).

Tehokas validointiprosessi

Toinen suuri mahdollisuus tälle teknologialle on sen kyky tehdä validointiprosessista paljon tehokkaampi. 

"Toimitusketjun validointi, joka on sijoitettu validointiprosessiin, auttaa tunnistamaan bugisen/haavoittuvan koodin ja tekee validointiprosessista tehokkaamman useiden suuruusluokkien verran", hän jatkoi. 

Kuten kaikkien tekoälyn ja ohjelmistojen kohdalla, on ratkaisevan tärkeää ymmärtää mahdolliset riskit ja käsitellä niitä. Kun kysyttiin, liittyykö avoimen lähdekoodin ohjelmistoihin (OSS) ainutlaatuisia riskejä, tohtori Barr sanoi, että riskejä on sekä yleisiä että erityisiä. 

"On olemassa yleisiä riskejä ja erityisiä riskejä", hän sanoi. "Yleinen riski sisältää "viattomia" virheitä koodissa, joita ilkeä toimija voi käyttää hyväkseen. Erityiset riskit liittyvät kilpailevaan toimijaan (kuten valtion tukemaan virastoon), joka tietoisesti tuo avoimeen lähdekoodiin bugeja, joita voidaan jossain vaiheessa hyödyntää."

Analyysin alustavat tulokset julkaistiin vuonna IEEE otsikolla "Kombinatorisen koodin luokitus ja haavoittuvuus"