Acronis SCS et des universitaires de premier plan s’associent pour développer un modèle de notation de risque basé sur l’IA

L’entreprise américaine de protection contre les cybermenaces Acronis SCS s’est associée à des universitaires de premier plan pour améliorer les logiciels grâce à l’utilisation de l’intelligence artificielle (IA). Cette collaboration a abouti à un modèle de notation de risque basé sur l’IA capable d’évaluer quantitativement la vulnérabilité du code logiciel.

Le nouveau modèle a démontré une amélioration de 41 % dans la détection des vulnérabilités et des expositions communes (CVE) lors de sa première phase d’analyse. Les tests suivants ont donné des résultats tout aussi impressionnants, et Acronis SCS est sur le point de partager le modèle lorsqu’il sera terminé.

Fournisseurs de logiciels et secteur public

L’un des aspects les plus importants de cette technologie est qu’elle peut être utilisée par d’autres fournisseurs de logiciels et organisations du secteur public. Grâce à son utilisation, la validation de la chaîne d’approvisionnement logiciel peut être améliorée sans nuire à l’innovation ou aux opportunités pour les petites entreprises, et il s’agit d’un outil abordable pour ces organisations.

Le modèle basé sur l’IA d’Acronis SCS repose sur un réseau neuronal de deep learning qui analyse à la fois le code source open source et propriétaire. Il peut fournir des scores de risque quantitatifs impartiaux que les administrateurs informatiques peuvent ensuite utiliser pour prendre des décisions précises concernant le déploiement de nouveaux packages logiciels et la mise à jour de ceux existants.

L’entreprise utilise un modèle de langage pour intégrer le code. Un type de deep learning, le modèle de langage combine une couche d’intégration avec un réseau neuronal récurrent (RNN). Des techniques de sur-échantillonnage et des algorithmes de classification tels que le boosting, les forêts aléatoires et les réseaux neuronaux sont utilisés pour mesurer le modèle.

Le Dr Joe Barr est le directeur de la recherche d’Acronis SCS.

« Nous utilisons un modèle de langage pour intégrer le code. Le modèle de langage est une forme de deep learning qui combine une couche d’intégration avec un réseau neuronal récurrent (RNN) », a déclaré le Dr Barr à Unite.AI.

« L’entrée se compose de paires de fonctions (fonction, étiquette) et la sortie est une probabilité P(y=1 | x) qu’une fonction est vulnérable à une faille (bogue). Puisque les étiquettes positives sont rares, nous utilisons diverses techniques de sur-échantillonnage et des algorithmes de classification (comme le boosting, les forêts aléatoires et les réseaux neuronaux). Nous mesurons la « qualité » par ROC/AUC et un gain de percentile (nombre de « mauvais » dans le percentile supérieur, k=1,2,3,4,5). »

Processus de validation efficace

Une autre grande opportunité pour cette technologie est sa capacité à rendre le processus de validation beaucoup plus efficace.

« La validation de la chaîne d’approvisionnement, placée à l’intérieur d’un processus de validation, aidera à identifier le code bogue/vulnérable et rendra le processus de validation plus efficace de plusieurs ordres de grandeur », a-t-il poursuivi.

Comme pour tout logiciel et IA, il est crucial de comprendre et de traiter tout risque potentiel. Lorsqu’on lui a demandé s’il existait des risques uniques liés aux logiciels open source (OSS), le Dr Barr a déclaré qu’il y a des risques génériques et spécifiques.

« Il y a des risques génériques et des risques spécifiques », a-t-il déclaré. « Le risque générique inclut des bogues « innocents » dans le code qui peuvent être exploités par un acteur malveillant. Les risques spécifiques sont liés à un acteur adverse (comme une agence parrainée par l’État) qui introduit intentionnellement des bogues dans les logiciels open source pour les exploiter à un moment donné. »

Les résultats initiaux de l’analyse ont été publiés dans IEEE sous le titre « Classification et vulnérabilité de code combinatoire ».