RevEng.AI raccoglie 15 milioni di dollari nella serie A per verificare la sicurezza e l’integrità del software generato da AI

Man mano che il codice generato da AI si sta integrando sempre di più nei sistemi aziendali e governativi, le startup di sicurezza informatica stanno correndo per risolvere un problema di fiducia in crescita: come le organizzazioni possono verificare cosa sta effettivamente girando all’interno del software che distribuiscono. RevEng.AI ha annunciato un round di finanziamento di serie A da 15 milioni di dollari guidato dal NATO Innovation Fund, con la partecipazione di Sands Capital, In-Q-Tel, IQ Capital e Episode One. La società afferma che il finanziamento aiuterà ad espandere la sua piattaforma progettata per analizzare le minacce nascoste, la funzionalità maligna e i rischi della catena di approvvigionamento del software all’interno dei binari compilati.

La società con sede a Londra si concentra su una sfida in crescita nella sicurezza informatica: l’incapacità delle organizzazioni di ispezionare completamente il software una volta che è stato compilato in forma eseguibile. Gli strumenti di sicurezza delle applicazioni tradizionali si concentrano in gran parte sull’analisi del codice sorgente, i repository e i metadati dei pacchetti. Tuttavia, i binari compilati che girano effettivamente sui sistemi spesso rimangono opachi, in particolare quando si tratta di software di terze parti, firmware o applicazioni a codice chiuso.

Il crescente rischio del codice generato da AI

L’industria del software sta subendo una trasformazione importante poiché gli assistenti di codifica AI evolvono in agenti di codifica autonomi sempre più capaci di generare e distribuire grandi volumi di software con un controllo umano minimo. Sebbene questo cambiamento stia accelerando i cicli di sviluppo, sta anche creando nuovi punti ciechi di sicurezza.

RevEng.AI sostiene che le organizzazioni stanno entrando in un’era in cui gran parte del software in fase di distribuzione potrebbe non essere mai completamente esaminata da un essere umano. Ciò introduce preoccupazioni relative a vulnerabilità nascoste, funzionalità maligna incorporata e comportamenti non intenzionali che potrebbero rimanere invisibili all’interno degli eseguibili compilati.

Questo problema diventa particolarmente significativo in ambienti in cui il software alimenta sistemi finanziari, reti sanitarie, reti di energia, sistemi di trasporto e operazioni di difesa. Un componente software compromesso sepolto all’interno di una catena di dipendenze potrebbe potenzialmente colpire milioni di utenti o interrompere infrastrutture critiche.

Gli attacchi alla catena di approvvigionamento del software sono già diventati una delle minacce di sicurezza informatica in più rapida crescita a livello globale. Incidenti di alto profilo negli ultimi anni hanno dimostrato come gli aggressori possano infiltrarsi negli aggiornamenti software attendibili o nelle librerie di terze parti per ottenere un accesso ampio ai sistemi aziendali. RevEng.AI sta cercando di affrontare questa sfida spostando gli sforzi di verifica direttamente al livello binario.

Analizzare il software senza codice sorgente

Uno degli aspetti più notevoli della tecnologia di RevEng.AI è che opera senza richiedere l’accesso al codice sorgente. Invece, la piattaforma funziona direttamente sui binari compilati, eseguibili, firmware e altri artifact del software leggibili dalla macchina.

Questo approccio è importante perché molte organizzazioni si affidano regolarmente al software sviluppato esternamente da fornitori, comunità open source o appaltatori. In molti casi, il codice sorgente originale potrebbe non essere accessibile, pratico da ispezionare o addirittura disponibile.

La piattaforma di RevEng.AI utilizza un modello di intelligenza artificiale fondamentale chiamato BinNet, che la società afferma essere stato addestrato insieme a unità di élite cyber all’interno di governi alleati e team di sicurezza commerciali. Il sistema è progettato per automatizzare le attività di reverse engineering tradizionalmente gestite da esperti altamente specializzati.

Esaminando i binari direttamente, la piattaforma può presumibilmente identificare componenti nascosti, modifiche di rilascio sospette, comportamenti maligni, vulnerabilità e funzionalità inaspettate incorporate all’interno degli artifact del software prima che vengano distribuiti.

La società afferma che ciò riduce drasticamente il tempo e l’esperienza richiesti per ispezionare manualmente l’integrità del software, un’area che storicamente ha fatto affidamento su un talento di reverse engineering scarsamente disponibile.

Perché la verifica a livello binario è importante

Gran parte degli strumenti di sicurezza informatica attuali si concentra ancora sui repository del codice sorgente e sulle dipendenze del software dichiarate. Tuttavia, l’eseguibile compilato che gira effettivamente sulla macchina può differire notevolmente da ciò che le organizzazioni credono di stare distribuendo.

Questa distinzione diventa sempre più importante man mano che i sistemi AI iniziano a generare software autonomamente. I team di sviluppo potrebbero non comprendere appieno ogni dipendenza, modulo generato o comportamento incorporato all’interno delle applicazioni assistite da AI.

L’approccio di RevEng.AI tratta efficacemente il binario compilato stesso come la fonte di verità finale. Invece di affidarsi solo alle dichiarazioni su cosa contiene il software, la piattaforma tenta di ispezionare cosa è effettivamente presente all’interno dell’eseguibile che girerà sui sistemi di produzione.

Secondo la società, la sua piattaforma può confrontare nuove versioni del software con versioni attendibili, identificare uno scostamento anormale tra build e scoprire componenti nascosti o non dichiarati che potrebbero essere stati introdotti durante lo sviluppo o la distribuzione.

Questo tipo di verifica potrebbe diventare particolarmente importante per le organizzazioni che gestiscono catene di approvvigionamento del software complesse che includono fornitori di terze parti, appaltatori, componenti open source e codice generato da AI.

Il futuro della verifica del software

L’ascesa dei sistemi di codifica autonomi probabilmente ridisegnerà il modo in cui le organizzazioni pensano alla fiducia e alla sicurezza del software nel prossimo decennio. Man mano che il software generato da AI diventa più comune, il volume di codice che entra negli ambienti di produzione potrebbe eventualmente superare ciò che i revisori umani possono realisticamente ispezionare manualmente.

Questo cambiamento potrebbe spingere la verifica a livello binario e l’ingegneria inversa automatizzata in un ruolo più centrale all’interno delle operazioni di sicurezza informatica aziendale. Invece di trattare l’ingegneria inversa come una disciplina di nicchia riservata a ricercatori di sicurezza di élite, le organizzazioni potrebbero iniziare a integrare l’ispezione binaria continua direttamente nei flussi di lavoro di acquisizione, distribuzione e aggiornamento del software.

Le implicazioni vanno al di là della tradizionale sicurezza informatica. Industrie come sanità, finanza, energia, trasporto, produzione e difesa dipendono sempre più da ecosistemi software interconnessi in cui le vulnerabilità nascoste o la funzionalità maligna possono avere conseguenze operative a catena.

Allo stesso tempo, l’adozione rapida degli agenti di codifica AI potrebbe creare pressione per nuove forme di responsabilità del software. Le organizzazioni potrebbero eventualmente richiedere strati di verifica indipendenti in grado di convalidare che il software distribuito si comporta come previsto indipendentemente da come o dove è stato generato il codice.

Man mano che lo sviluppo del software diventa sempre più automatizzato, le tecnologie focalizzate sull’ispezione dei binari compilati piuttosto che sull’analisi del codice sorgente potrebbero diventare una parte importante di come le aziende proteggono la prossima generazione di infrastrutture guidate da AI.