Acronis SCS i vodeći akademski partneri u razvoju modela bodovanja rizika temeljenog na umjetnoj inteligenciji

Američka tvrtka za kibernetičku zaštitu Acronis SCS udružio se s vodećim akademicima kako bi poboljšao softver korištenjem umjetne inteligencije (AI). Suradnja je razvila model bodovanja rizika temeljen na umjetnoj inteligenciji koji može kvantitativno procijeniti ranjivost softverskog koda. 

Novi model pokazao je poboljšanje od 41% u otkrivanju uobičajenih ranjivosti i izloženosti (CVE) tijekom prve faze analize. Sljedeći testovi rezultirali su jednako impresivnim rezultatima, a Acronis SCS je spreman podijeliti model po njegovom završetku. 

Dobavljači softvera i javni sektor

Jedan od najvećih aspekata ove tehnologije jest to što je mogu koristiti drugi dobavljači softvera i organizacije javnog sektora. Njegovom upotrebom, provjera valjanosti lanca nabave softvera može se poboljšati bez ugrožavanja inovacija ili prilika za mala poduzeća, a to je pristupačan alat za te organizacije. 

Acronis SCS-ov model temeljen na umjetnoj inteligenciji oslanja se na neuronsku mrežu dubokog učenja koja skenira i otvoreni i vlasnički izvorni kod. Može pružiti nepristrane kvantitativne jezgre rizika koje IT administratori zatim mogu koristiti za donošenje točnih odluka koje uključuju implementaciju novih softverskih paketa i ažuriranje postojećih. 

Tvrtka koristi jezični model za ugradnju koda. Vrsta dubokog učenja, jezični model kombinira sloj ugradnje s rekurentnom neuronskom mrežom (RNN). Za mjerenje modela koriste se tehnike povećanja uzorkovanja i algoritmi klasifikacije kao što su boosting, nasumične šume i neuronske mreže. 

Dr. Joe Barr je viši direktor istraživanja u Acronisu SCS. 

“Koristimo jezični model za ugradnju koda. Jezični model oblik je dubokog učenja koji kombinira sloj ugradnje s rekurentnom neuronskom mrežom (RNN)”, rekao je dr. Barr za Unite.AI. 

“Ulaz se sastoji od parova funkcija (funkcija, oznaka), a izlaz je vjerojatnost P(y=1 | x) da je funkcija ranjiva na hakiranje (buggy). Budući da su pozitivne oznake rijetke, koristimo se raznim tehnikama uzorkovanja i algoritmima klasifikacije (poput pojačanja, nasumičnih šuma i neuronskih mreža). Mjerimo "dobro" prema ROC/AUC i postotnom porastu (broj "loših" u gornjem k percentilu, k=1,2,3,4,5)."

Učinkovit proces provjere valjanosti

Još jedna velika prilika za ovu tehnologiju je njezina sposobnost da proces provjere valjanosti učini mnogo učinkovitijim. 

"Provjera valjanosti lanca opskrbe, postavljena unutar postupka provjere valjanosti, pomoći će u identificiranju pogrešnog/ranjivog koda i učinit će postupak provjere učinkovitijim za nekoliko redova veličine", nastavio je. 

Kao i kod svake umjetne inteligencije i softvera, ključno je razumjeti i riješiti sve moguće rizike. Na pitanje postoje li rizici jedinstveni za softver otvorenog koda (OSS), dr. Barr je rekao da postoje i generički i specifični. 

"Postoje generički rizici i specifični rizici", rekao je. “Generički rizik uključuje “nevine” greške u kodu koje bi zločesti akter mogao iskoristiti. Specifični rizici odnose se na protivničkog aktera (kao što je agencija pod pokroviteljstvom države) koji namjerno uvodi bugove u otvoreni kod kako bi se u nekom trenutku iskoristili.”

Prvi rezultati analize objavljeni su u IEEE pod nazivom “Klasifikacija kombinatornog koda i ranjivost".