RevEng.AI kerää 15 miljoonan dollarin rahoituksen sarjasta A tarkistaakseen AI: n tuottamien ohjelmistojen turvallisuuden ja eheyyden

Kun AI-koodi upotetaan yhä enemmän yritys- ja hallitusten järjestelmiin, kyberTurvallisuusstartups kilpailevat ratkaisemalla kasvavan luottamongelman: miten organisaatiot voivat varmistaa, mitä ohjelmistoa he toteuttavat. RevEng.AI ilmoitti 15 miljoonan dollarin rahoituksen sarjasta A, jota johti Nato-innovaatiotuki, ja johon osallistuivat Sands Capital, In-Q-Tel, IQ Capital ja Episode One. Yritys sanoo, että rahoitus auttaa laajentamaan alustaa, joka on suunniteltu analysoimaan koonneita ohjelmistobinaareja piilotettujen uhkien, haitallisen toiminnallisuuden ja ohjelmistotoimitusketjun riskejä varten.

Lontoolainen yritys keskittyy kasvavaan haasteeseen kyberturvalle: organisaatioiden kyvyttömyyteen tarkastaa ohjelmistoa kunnolla, kun se on koottu suoritettavaan muotoon. Perinteiset sovellusturvalisuustyökalut keskittyvät pääasiassa lähdekoodin analyysiin, varastoihin ja pakkausmetatietoihin. Koonneet binäärit, jotka todella suoritetaan järjestelmissä, usein pysyvät epäselvinä, erityisesti kun käsitellään kolmannen osapuolen ohjelmistoa, ohjelmistoa tai suljettuja sovelluksia.

AI-koodin kasvava riski

Ohjelmistoteollisuus on käymässä läpi suurta muutosta, kun AI-koodin apuvälineet kehittyvät yhä enemmän itsenäisiksi koodausagentteiksi, jotka pystyvät tuottamaan ja käyttämään suuria määriä ohjelmistoa vähäisellä ihmisen valvonnalla. Vaikka tämä siirtymä kiihdyttää kehityssyklejä, se luo myös uusia turvallisuuspilkkukohdittain.

RevEng.AI väittää, että organisaatiot ovat menossa aikakauteen, jossa suurin osa toimitettavasta ohjelmistosta ei ehkä koskaan ole täysin katsastettu ihmisvoimin. Tämä herättää huolenaiheita piilotettujen haavoittuvuuksien, upotetun haitallisen toiminnallisuuden ja tahattomien käyttäytymisen muotojen suhteen, jotka voivat pysyä näkymättöminä koonneissa suoritettavissa tiedostoissa.

Tämä ongelma on erityisen merkittävä ympäristöissä, joissa ohjelmisto ohjaa rahoitusjärjestelmiä, terveydenhuollon verkostoja, energiaverkkoja, liikennejärjestelmiä ja puolustusoperaatioita. Vaarantunut ohjelmistokomponentti, joka on haudattu riippuvuusketjuun, voi potentiaalisesti vaikuttaa miljooniin käyttäjiin tai häiritä kriittistä infrastruktuuria.

Ohjelmistotoimitusketjun hyökkäykset ovat jo yksi nopeimmin kasvavista kyberturvallisuuden uhista maailmanlaajuisesti. Huomattavat tapaukset viime vuosien aikana ovat osoittaneet, miten hyökkääjät voivat tunkeutua luotettuihin ohjelmistopäivityksiin tai kolmannen osapuolen kirjastoihin saadakseen laajan pääsyn yritysjärjestelmiin. RevEng.AI yrittää ratkaista tämän haasteen siirtämällä verifioinnin suoraan binääritasolle.

Ohjelmistojen analysointi ilman lähdekoodia

Yksi RevEng.AI: n teknologian merkittävimmista puolista on se, että se toimii ilman lähdekoodin tarvetta. Sen sijaan alusta toimii suoraan koonneilla binääreillä, suoritettavilla tiedostoilla, ohjelmistoilla ja muilla koneellisesti luettavilla ohjelmistokohteilla.

Tämä lähestymistapa on tärkeä, koska monet organisaatiot luottavat säännöllisesti ohjelmistoihin, jotka on kehittänyt ulkopuoliset toimijat, avoimen lähdekoodin yhteisöt tai urakoitsijat. Monissa tapauksissa alkuperäinen lähdekoodi ei välttämättä ole saatavilla, käytännöllinen tarkastettavaksi tai edes saatavilla ollenkaan.

RevEng.AI: n alusta käyttää perustavaa AI-mallia nimeltä BinNet, jonka yritys sanoo olleen koulutettu yhdessä eliittisyberjoukkojen ja kaupallisten turvallisuustiimien kanssa. Järjestelmä on suunniteltu automatisoimaan reverse engineering -tehtäviä, jotka perinteisesti on käsitelty erittäin erikoistuneiden asiantuntijoiden toimesta.

Binäärien tarkastelemisen kautta alusta voi ilmeisesti tunnistaa piilotetut komponentit, epäilyttävät julkaisumuutokset, haitallisen toiminnallisuuden, haavoittuvuuksia ja odottamattomia toimintamuotoja, jotka on upotettu ohjelmistokohteisiin ennen niiden käyttöönottoa.

Yritys sanoo, että tämä vähentää merkittävästi aikaa ja asiantuntijuutta, jota tarvitaan ohjelmistojen eheyyden manuaaliseen tarkasteluun, alueelle, joka on perinteisesti riippunut harvinaisesta reverse engineering -asiantuntijuudesta.

Binääritason verifioinnin merkitys

Suurin osa nykyisistä kyberturvallisuustyökaluista on edelleen keskittynyt lähdekoodin varastoihin ja julistettuihin ohjelmistoriippuvuuksiin. Koonnut suoritettava, joka lopulta suoritetaan koneella, voi kuitenkin poiketa merkittävästi siitä, mitä organisaatiot uskovat toteuttavansa.

Tämä ero tulee yhä tärkeämmäksi, kun AI-järjestelmät alkavat tuottaa ohjelmistoa itsenäisesti. Kehitystiimit eivät välttämättä täysin ymmärrä jokaista riippuvuutta, generoituja moduuleja tai upotettua toimintaa, jotka sisältyvät AI-tukeisiin sovelluksiin.

RevEng.AI: n lähestymistapa käsittelee koonnutta binääriä itseään lopullisena totuutena. Sen sijaan, että riippuisi yksinomaan julistuksista siitä, mitä ohjelmisto sisältää, alusta yrittää tarkastella, mitä on todella olemassa suoritettavassa, joka suoritetaan tuotantojärjestelmissä.

Yrityksen mukaan sen alusta voi vertailla uusia ohjelmistoversioita luotettuihin versioihin, tunnistaa epänormaaleja muutoksia rakennuksissa ja paljastaa piilotetut tai julistamattomat komponentit, jotka on saatettu esittää kehityksen tai käyttöönoton aikana.

Tämänkaltaista verifiointia voi tulla erityisen tärkeäksi organisaatioille, jotka hallinnoivat monimutkaisia ohjelmistotoimitusketjuja, jotka sisältävät kolmannen osapuolen toimittajia, urakoitsijoita, avoimen lähdekoodin komponentteja ja AI-tuotettua koodia.

Ohjelmistoverifioinnin tulevaisuus

Itsenäisten koodausjärjestelmien nousu todennäköisesti muuttaa sitä, miten organisaatiot ajattelevat ohjelmistoluottamusta ja turvallisuutta seuraavan vuosikymmenen aikana. Kun AI-tuotettu ohjelmisto yleistyy, koodin määrä, joka tulee tuotantoympäristöön, voi lopulta ylittää sen, mitä ihmiset voivat realistisesti tarkastaa manuaalisesti.

Tämä siirtymä voi työntää binääritason verifioinnin ja automaattisen reverse engineeringin keskeisemmän roolin yritysten kyberturvalle. Sen sijaan, että kohdellaan reverse engineeringiä erikoistuneena tieteenalana, joka on varattu eliittiturvallisuustutkijoille, organisaatiot voivat aloittaa jatkuvan binääritarkastelun suoraan ohjelmistohankinnan, käyttöönoton ja päivitysprosesseihin.

Seuraukset ulottuvat perinteisen kyberturvalleen. Teollisuudet, kuten terveydenhuolto, rahoitus, energia, liikenne, valmistus ja puolustus, riippuvat yhä enemmän toisiinsa kytketyistä ohjelmistoympäristöistä, joissa piilotetut haavoittuvuudet tai haitallinen toimintamuoto voivat aiheuttaa kaskadioperativaatiot.

Samaan aikaan nopea omaksuminen AI-koodausagentteja voi luoda painetta kokonaan uusille muodoille ohjelmistovastuulle. Organisaatiot voivat lopulta vaatia riippumattomia verifiointikerroksia, jotka voivat vahvistaa, että käyttöönotettu ohjelmisto toimii odotetusti riippumatta siitä, miten tai missä koodi on tuotettu.

Kun ohjelmistokehitys yhä enemmän automatisoidaan, teknologiat, jotka keskittyvät koonneiden binäärien tarkasteluun sen sijaan, että riippuvat yksinomaan lähdekoodin analyysistä, voivat tulla tärkeäksi osaksi sitä, miten yritykset turvallistavat seuraavan sukupolven AI-vetoinen infrastruktuuri. ected riippumatta siitä, miten tai missä koodi on tuotettu. Kun ohjelmistokehitys yhä enemmän automatisoidaan, teknologiat, jotka keskittyvät koonneiden binäärien tarkasteluun sen sijaan, että riippuvat yksinomaan lähdekoodin analyysistä, voivat tulla tärkeäksi osaksi sitä, miten yritykset turvallistavat seuraavan sukupolven AI-vetoinen infrastruktuuri.