RevEng.AI haalt $15 miljoen Series A op om de beveiliging en integriteit van door AI gegenereerde software te verifiëren

Naarmate door AI gegenereerde code steeds meer ingebed wordt in ondernemings- en overheidsystemen, racen cybersecurity-startups om een groeiend vertrouwensprobleem op te lossen: hoe organisaties kunnen verifiëren wat er daadwerkelijk in de software draait die ze implementeren. RevEng.AI kondigde een Series A-financieringsronde van $15 miljoen aan onder leiding van de NATO Innovation Fund, met deelname van Sands Capital, In-Q-Tel, IQ Capital en Episode One. Het bedrijf zegt dat de financiering zal helpen om zijn platform uit te breiden, dat is ontworpen om samengestelde softwarebinaries te analyseren op verborgen bedreigingen, kwaadaardige functionaliteit en softwareleveranciersrisico’s.

Het in Londen gevestigde bedrijf richt zich op een groeiende uitdaging in de cybersecurity: de onmogelijkheid voor organisaties om software volledig te inspecteren zodra deze is samengesteld in uitvoerbare vorm. Traditionele applicatieveiligheidstools richten zich voornamelijk op broncodeanalyse, repositories en pakketmetadata. Maar de samengestelde binaries die daadwerkelijk op systemen draaien, blijven vaak ondoorzichtig, vooral bij het omgaan met software van derden, firmware of gesloten broncode.

Het groeiende risico van door AI gegenereerde code

De software-industrie ondergaat een grote transformatie, aangezien AI-codinghulpmiddelen evolueren naar steeds meer autonome codingagenten die in staat zijn om grote volumes software te genereren en te implementeren met minimale menselijke toezicht. Terwijl deze verschuiving de ontwikkelingscycli versnelt, creëert het ook nieuwe beveiligingsblindspots.

RevEng.AI stelt dat organisaties een tijdperk binnenkomen waarin veel van de software die wordt geleverd, mogelijk nooit volledig door een mens wordt beoordeeld. Dat introduceert zorgen over verborgen kwetsbaarheden, ingebedde kwaadaardige functionaliteit en onbedoelde gedragingen die onzichtbaar kunnen blijven in samengestelde uitvoerbare bestanden.

Dit probleem wordt vooral significant in omgevingen waar software financiële systemen, gezondheidsnetwerken, energienetwerken, transportsystemen en defensieoperaties aandrijft. Een gecompromitteerd softwareonderdeel dat diep in een afhankelijkheidsketen is begraven, kan mogelijk miljoenen gebruikers beïnvloeden of kritieke infrastructuur verstoren.

Softwareleveranciersaanvallen zijn al een van de snelst groeiende cybersecuritybedreigingen wereldwijd. Grote incidenten in de afgelopen jaren hebben aangetoond hoe aanvallers vertrouwde software-updates of software van derden kunnen infiltreren om toegang te krijgen tot ondernemingssystemen. RevEng.AI probeert deze uitdaging aan te pakken door verificatie-inspanningen rechtstreeks naar het binaire niveau te verplaatsen.

Software analyseren zonder broncode

Een van de meest opvallende aspecten van de technologie van RevEng.AI is dat deze zonder toegang tot broncode werkt. In plaats daarvan werkt het platform rechtstreeks met samengestelde binaries, uitvoerbare bestanden, firmware en andere machinale software-artefacten.

Dit is belangrijk omdat veel organisaties regelmatig afhankelijk zijn van software die extern is ontwikkeld door leveranciers, open-sourcegemeenschappen of aannemers. In veel gevallen is de oorspronkelijke broncode mogelijk niet toegankelijk, praktisch om te inspecteren of zelfs helemaal niet beschikbaar.

Het platform van RevEng.AI gebruikt een fundamenteel AI-model genaamd BinNet, dat het bedrijf zegt is getraind samen met elite cyberunits binnen geallieerde overheden en commerciële beveiligingsteams. Het systeem is ontworpen om reverse-engineeringtaken te automatiseren die traditioneel door zeer gespecialiseerde experts worden uitgevoerd.

Door binaries rechtstreeks te onderzoeken, kan het platform naar verluidt verborgen componenten, verdachte releaseveranderingen, kwaadaardige gedragingen, kwetsbaarheden en onverwachte functionaliteit identificeren die in software-artefacten zijn ingebed voordat deze worden geïmplementeerd.

Het bedrijf zegt dat dit de tijd en expertise die nodig zijn om software-integriteit handmatig te inspecteren, aanzienlijk vermindert, een gebied dat historisch afhankelijk is van schaarse reverse-engineeringtalent.

Waarom binaire verificatie ertoe doet

Veel van de huidige cybersecuritytools zijn nog steeds gericht op broncoderepositories en verklaarde softwareafhankelijkheden. Echter, de samengestelde uitvoerbare bestanden die uiteindelijk op een machine draaien, kunnen aanzienlijk verschillen van wat organisaties denken dat ze implementeren.

Dat onderscheid wordt steeds belangrijker naarmate AI-systemen software autonoom beginnen te genereren. Ontwikkelteams kunnen niet volledig begrijpen elke afhankelijkheid, gegenereerd module of ingebedde functionaliteit die in AI-ondersteunde applicaties is opgenomen.

De aanpak van RevEng.AI behandelt de samengestelde binary effectief als de uiteindelijke bron van waarheid. In plaats van te vertrouwen op verklaringen over wat software bevat, probeert het platform te inspecteren wat er daadwerkelijk in het uitvoerbare bestand zit dat op productiesystemen draait.

Volgens het bedrijf kan zijn platform nieuwe software-releases vergelijken met vertrouwde versies, abnormale afwijkingen tussen builds identificeren en verborgen of niet-verklaarde componenten ontdekken die tijdens de ontwikkeling of implementatie kunnen zijn geïntroduceerd.

Deze soort verificatie kan vooral belangrijk worden voor organisaties die complexe softwareleveranciersketens beheren die derden, aannemers, open-sourcecomponenten en door AI gegenereerde code omvatten.

De toekomst van softwareverificatie

De opkomst van autonome codingsystemen zal waarschijnlijk de manier waarop organisaties over softwarevertrouwen en -beveiliging denken, de komende tien jaar vormgeven. Naarmate door AI gegenereerde software meer gemeengoed wordt, kan het volume aan code dat in productieomgevingen terechtkomt, uiteindelijk het volume overschrijden dat menselijke reviewers realistisch handmatig kunnen inspecteren.

Dat kan binaire verificatie en geautomatiseerde reverse-engineering naar een centrale rol binnen ondernemingscybersecurity-operaties duwen. In plaats van reverse-engineering als een niche-discipline te behandelen die is voorbehouden aan elitebeveiligingsonderzoekers, kunnen organisaties beginnen met het integreren van continue binaire inspectie rechtstreeks in softwareprocurement-, implementatie- en update-workflows.

De implicaties gaan verder dan traditionele cybersecurity. Branches zoals gezondheidszorg, financiën, energie, transport, fabricage en defensie zijn steeds meer afhankelijk van geïnterconnecteerde software-ecosystemen waarin verborgen kwetsbaarheden of kwaadaardige functionaliteit cascaderende operationele gevolgen kunnen hebben.

Tegelijkertijd kan de snelle adoptie van AI-codingagenten druk creëren voor geheel nieuwe vormen van software-accountability. Organisaties kunnen uiteindelijk onafhankelijke verificatielagen vereisen die in staat zijn om te valideren dat geïmplementeerde software zich gedraagt zoals verwacht, ongeacht hoe of waar de code is gegenereerd.

Naarmate softwareontwikkeling steeds meer geautomatiseerd raakt, kunnen technologieën die zijn gericht op het inspecteren van samengestelde binaries in plaats van te vertrouwen op broncodeanalyse, een belangrijk onderdeel worden van hoe ondernemingen de volgende generatie AI-gedreven infrastructuur beveiligen.