RevEng.AI henter inn 15 millioner dollar i serie A-finansiering for å verifisere sikkerheten og integriteten til AI-generert programvare

Siden AI-generert kode blir stadig mer integrert i bedrifts- og regjeringssystemer, konkurrerer cybersecurity-startups om å løse et økende tillitsproblem: hvordan organisasjoner kan verifisere hva som faktisk kjører inni programvaren de distribuerer. RevEng.AI kunngjorde en serie A-finansieringsrunde på 15 millioner dollar ledet av NATO Innovation Fund, med deltakelse fra Sands Capital, In-Q-Tel, IQ Capital og Episode One. Selskapet sier at finansieringen vil hjelpe med å utvide deres plattform designet for å analysere kompilerte programvarebinærer for skjulte trusler, malisøs funksjonalitet og programvareforsyningskjederisikoer.

Det London-baserte selskapet fokuserer på en økende utfordring i cybersecurity: organisasjoners evne til å fullstendig inspisere programvare når den har blitt kompilert til eksekverbar form. Tradisjonelle applikasjonssikkerhetstverkty verily fokuserer på kildekodeanalyse, repositoryer og pakke-metadata. Men de kompilerte binærene som faktisk kjører på systemer kan ofte være uklare, særlig når det gjelder tredjepartsprogramvare, firmware eller lukkede applikasjoner.

Den økende risikoen med AI-generert kode

Programvareindustrien gjennomgår en stor transformasjon mens AI-kodehjelpere utvikler seg til stadig mer autonome kodeagenter i stand til å generere og distribuere store volumer med programvare med minimal menneskelig tilsyn. Mens denne skiftet akselerer utviklingscyklene, skaper det også nye sikkerhetssvakheter.

RevEng.AI argumenterer for at organisasjoner går inn i en æra hvor mye av programvaren som sendes ut kanskje aldri vil bli fullstendig gjennomgått av en menneskelig. Det introduserer bekymringer rundt skjulte sårbarheter, innebygget malisøs funksjonalitet og uforutsette atferd som kan forbli usynlige inni kompilerte eksekverbarer.

Dette problemet blir særlig betydelig i miljøer hvor programvare driver finansielle systemer, helsesystemer, energinett, transportsystemer og forsvarssystemer. En kompromittert programvarekomponent begravd i en avhengighetskjede kan potensielt påvirke millioner av brukere eller forstyrre kritisk infrastruktur.

Programvareforsyningskjedeangrep har allerede blitt ett av de raskeste voksende cybersecurity-truslene globalt. Høyprofilerte hendelser de siste årene har demonstrert hvordan angripere kan infiltrere tillitsfulle programvareoppdateringer eller tredjepartsbiblioteker for å få bred tilgang til bedriftssystemer. RevEng.AI prøver å møte denne utfordringen ved å flytte verifiseringen direkte til binærnivå.

Analysere programvare uten kildekode

En av de mer bemerkelsesverdige aspektene ved RevEng.AIs teknologi er at den opererer uten å kreve tilgang til kildekode. I stedet fungerer plattformen direkte på kompilerte binærer, eksekverbarer, firmware og andre maskinlesbare programvareartefakter.

Dette tilnærmingen er viktig fordi mange organisasjoner rutinemessig avhenger av programvare utviklet eksternt av leverandører, åpne kildekodesamfunn eller underleverandører. I mange tilfeller kan den opprinnelige kildekoden ikke være tilgjengelig, praktisk å inspisere eller til og med til stede overhodet.

RevEng.AIs plattform bruker en grunnleggende AI-modell kalt BinNet, som selskapet sier ble trent sammen med elite cyberenheter innen allierte regjeringer og kommersielle sikkerhetsteam. Systemet er designet for å automatisere omvendt ingeniørarbeid tradisjonelt håndtert av høyt spesialiserte eksperter.

<p Ved å undersøke binærer direkte kan plattformen angivelig identifisere skjulte komponenter, mistenkelige utgivelsesendringer, malisøs atferd, sårbarheter og uventet funksjonalitet innbygget i programvareartefakter før de distribueres.

Selskapet sier at dette dramatisk reduserer tiden og ekspertisen som kreves for å inspisere programvareintegritet manuelt, et område som historisk har avhengt av sjeldne omvendt ingeniør-talent.

Hvorfor binærnivå-verifisering er viktig

Mye av dagens cybersecurity-verktyg er fortsatt sentrert rundt kildekode-repositoryer og erklært programvareavhengigheter. Imidlertid kan den kompilerte eksekverbare som faktisk kjører på en maskin være betydelig forskjellig fra hva organisasjoner tror de distribuerer.

Denne forskjellen blir stadig viktigere når AI-systemer begynner å generere programvare autonomt. Utviklingsteam kan kanskje ikke fullstendig forstå hver avhengighet, generert modul eller innbygget atferd inkludert i AI-assisterte applikasjoner.

RevEng.AIs tilnærming behandler effektivt den kompilerte binæren som den endelige kildekoden. I stedet for å kun basere seg på erklæringer om hva programvaren inneholder, prøver plattformen å inspisere hva som faktisk er til stede inni den eksekverbare som kjører på produksjonssystemer.

Ifølge selskapet kan deres plattform sammenligne nye programvareutgaver mot pålitelige versjoner, identifisere abnormal drift mellom bygninger og avdekke skjulte eller uerklært komponenter som kan ha blitt introdusert under utvikling eller distribusjon.

Denne typen verifisering kan bli særlig viktig for organisasjoner som håndterer komplekse programvareforsyningskjeder som inkluderer tredjepartsleverandører, underleverandører, åpne kildekodeskomponenter og AI-generert kode.

Fremtiden for programvareverifisering

Oppblomstringen av autonome kode-systemer vil sannsynligvis omforme hvordan organisasjoner tenker om programvaretillit og sikkerhet over de neste ti årene. Mens AI-generert programvare blir mer vanlig, kan volumet av kode som går inn i produksjonsmiljøer til slutt overstige hva menneskelige gjennomgåere realistisk kan inspisere manuelt.

Dette skiftet kan trykke binærnivå-verifisering og automatisert omvendt ingeniørarbeid inn i en mer sentral rol innen bedriftssikkerhetsoperasjoner. I stedet for å behandle omvendt ingeniørarbeid som en nisje-disiplin forbeholdt elite-sikkerhetsforskere, kan organisasjoner begynne å integrere kontinuerlig binærinspeksjon direkte i programvareanskaffelse-, distribusjons- og oppdateringsarbeidsflyter.

Konsekvensene strekker seg utover tradisjonell cybersecurity. Industrier som helse, finans, energi, transport, produksjon og forsvar avhenger stadig mer av sammenkoblede programvareøkosystemer hvor skjulte sårbarheter eller malisøs funksjonalitet kan ha kaskadiske operasjonelle konsekvenser.

På samme tid kan den raske adopsjonen av AI-kodeagenter skape press for helt nye former for programvareansvar. Organisasjoner kan til slutt kreve uavhengige verifiseringsslag som kan validere at distribuert programvare oppfører seg som forventet uavhengig av hvordan eller hvor koden ble generert.

Som programvareutvikling blir stadig mer automatisert, kan teknologier som fokuserer på å inspisere kompilerte binærer i stedet for å kun basere seg på kildekodeanalyse, bli en viktig del av hvordan bedrifter sikrer den neste generasjonen av AI-drevet infrastruktur.