Acronis SCS e accademici di spicco collaborano per sviluppare un modello di valutazione del rischio basato sull’intelligenza artificiale

La società di protezione informatica statunitense Acronis SCS ha collaborato con accademici di spicco per migliorare il software attraverso l’utilizzo dell’intelligenza artificiale (AI). La collaborazione ha sviluppato un modello di valutazione del rischio basato sull’AI in grado di valutare quantitativamente la vulnerabilità del codice software.

Il nuovo modello ha dimostrato un miglioramento del 41% nella rilevazione di vulnerabilità e esposizioni comuni (CVE) durante la sua prima fase di analisi. I test successivi hanno prodotto risultati altrettanto impressionanti e Acronis SCS è pronta a condividere il modello al termine del suo completamento.

Fornitori di software e settore pubblico

Uno degli aspetti più grandi di questa tecnologia è che può essere utilizzata anche da altri fornitori di software e organizzazioni del settore pubblico. Attraverso il suo utilizzo, la convalida della catena di approvvigionamento del software può essere migliorata senza danneggiare l’innovazione o le opportunità per le piccole imprese e rappresenta uno strumento economico per queste organizzazioni.

Il modello basato sull’AI di Acronis SCS si basa su una rete neurale di apprendimento profondo che analizza sia il codice sorgente open-source che proprietario. Può fornire punteggi di rischio quantitativi imparziali che gli amministratori IT possono utilizzare per prendere decisioni accurate relative alla distribuzione di nuovi pacchetti software e all’aggiornamento di quelli esistenti.

La società utilizza un modello di linguaggio per incorporare il codice. Un tipo di apprendimento profondo, il modello di linguaggio combina uno strato di incorporamento con una rete neurale ricorrente (RNN). Le tecniche di campionamento e gli algoritmi di classificazione come il boosting, le foreste casuali e le reti neurali vengono utilizzati per misurare il modello.

Il dottor Joe Barr è il direttore senior della ricerca di Acronis SCS.

“Utilizziamo un modello di linguaggio per incorporare il codice. Il modello di linguaggio è una forma di apprendimento profondo che combina uno strato di incorporamento con una rete neurale ricorrente (RNN)”, ha detto il dottor Barr a Unite.AI.

“L’input consiste in coppie di funzioni (funzione, tag) e l’output è una probabilità P(y=1 | x) che una funzione è vulnerabile all’hacking (buggy). Poiché i tag positivi sono rari, utilizziamo varie tecniche di campionamento e algoritmi di classificazione (come il boosting, le foreste casuali e le reti neurali). Misuriamo la “bontà” tramite ROC/AUC e un aumento percentuale (numero di “cattivi” nel percentile superiore k, k=1,2,3,4,5).”

Processo di convalida efficiente

Un’altra grande opportunità per questa tecnologia è la sua capacità di rendere il processo di convalida molto più efficiente.

“La convalida della catena di approvvigionamento, inserita all’interno di un processo di convalida, aiuterà a identificare il codice buggy/vulnerabile e renderà il processo di convalida più efficiente di diversi ordini di grandezza”, ha continuato.

Come per tutti gli strumenti di intelligenza artificiale e software, è fondamentale comprendere e affrontare eventuali rischi potenziali. Quando gli è stato chiesto se ci sono rischi unici per il software open source (OSS), il dottor Barr ha detto che ci sono sia rischi generici che specifici.

“Ci sono rischi generici e specifici”, ha detto. “Il rischio generico include “bug innocenti” nel codice che possono essere sfruttati da un attore malintenzionato. I rischi specifici sono relativi a un attore avversario (come un’agenzia sponsorizzata dallo stato) che introduce intenzionalmente bug nel codice open source per sfruttarli in un momento successivo.”

I risultati iniziali dell’analisi sono stati pubblicati su IEEE con il titolo “Classificazione del codice combinatorio e vulnerabilità”.