Acronis SCS ואקדמאים מובילים משתפים פעולה לפיתוח מודל ציון סיכונים מבוסס AI

חברת ההגנה הסייברית האמריקאית Acronis SCS התשתפה עם אקדמאים מובילים כדי לשפר תוכנה באמצעות שימוש בבינה מלאכותית (AI). השיתוף פיתח מודל ציון סיכונים מבוסס AI שמסוגל להעריך כמותית את פגיעות קוד התוכנה. 

המודל החדש הפגין שיפור של 41% בגילוי פגיעויות וחשיפות נפוצות (CVEs) בשלב הראשון של הניתוח. תוצאות הבדיקות הבאות היו מרשימות באותה מידה, ו-Acronis SCS עומדת לשתף את המודל עם השלמתו. 

יצרני תוכנה ומגזר הציבורי

אחד היתרונות הגדולים של טכנולוגיה זו הוא שהיא יכולה לשמש גם יצרני תוכנה אחרים וארגונים במגזר הציבורי. באמצעות השימוש בה, ניתן לשפר את אימות שרשרת האספקה של התוכנה מבלי לפגוע בחדשנות או בהזדמנויות לעסקים קטנים, והיא כלי זול לארגונים אלה. 

מודל Acronis SCS המבוסס AI מסתמך על רשת נוירונים עמוקה שמסוגלת לסרוק קוד מקור הן של קוד פתוח והן של קוד תוכנה פרופריאטי. היא יכולה לספק ציוני סיכון כמותיים בלתי משוחדים שמנהלי IT יכולים להשתמש בהם כדי לקבל החלטות מדויקות בנוגע להטמעת חבילות תוכנה חדשות ועדכון אלו הקיימות. 

החברה משתמשת במודל שפה כדי לשתף קוד. סוג של למידה עמוקה, מודל שפה משלב שכבת הטמעה עם רשת נוירונים רקורסיבית (RNN). טכניקות אופ-סמפלינג ואלגוריתמים של סיווג כגון בוסטינג, יערות אקראיים ורשתות נוירונים משמשים למדידת המודל. 

ד”ר ג’ו באר הוא הדירקטור הבכיר של Acronis SCS למחקר. 

“אנו משתמשים במודל שפה כדי לשתף קוד. מודל שפה הוא סוג של למידה עמוקה, שמשלב שכבת הטמעה עם רשת נוירונים רקורסיבית (RNN),” אמר ד”ר באר ל-Unite.AI. 

“הקלט הוא זוגות פונקציות (פונקציה, תג) והפלט הוא הסתברות P(y=1 | x) שפונקציה פגיעה להאק (באגי). מכיוון שתגים חיוביים נדירים, אנו משתמשים בטכניקות אופ-סמפלינג שונות ואלגוריתמים של סיווג (כגון בוסטינג, יערות אקראיים ורשתות נוירונים). אנו מודדים “טובות” על ידי ROC/AUC ואחוזון הרמה (מספר “רעים” באחוזון העליון, k=1,2,3,4,5).”

תהליך אימות יעיל

הזדמנות נוספת גדולה לטכנולוגיה זו היא יכולתה להפוך את תהליך האימות להרבה יותר יעיל. 

“אימות שרשרת האספקה, המותקן בתוך תהליך אימות, יעזור לזהות קוד פגיע/רגיש ויפגע ביעילות התהליך האימות במספר סדרי גודל,” הוא המשיך. 

כפי שקורה עם כל AI ותוכנה, הכרחי להבין ולטפל בסיכונים הפוטנציאליים. כאשר נשאל אם ישנם סיכונים ייחודיים לתוכנה בקוד פתוח (OSS), ד”ר באר אמר כי ישנם סיכונים גנריים וספציפיים. 

“ישנם סיכונים גנריים וסיכונים ספציפיים,” הוא אמר. “הסיכון הגנרי כולל “באגים תמימים” בקוד שעלולים להינצל על ידי שחקן זדוני. סיכונים ספציפיים קשורים לשחקן עוין (כגון סוכנות ממשלתית) שמכוונת במכוון להכניס באגים לקוד פתוח כדי לנצלם בנקודה מסוימת.”

תוצאות הניתוח הראשוניות פורסמו ב IEEE בשם “סיווג קוד קומבינטורי ופגיעות.”