Acronis SCS i czołowi akademicy współpracują w celu opracowania modelu oceny ryzyka opartego na sztucznej inteligencji

Amerykańska firma ochrony cybernetycznej Acronis SCS współpracuje z czołowymi akademikami w celu poprawy oprogramowania za pomocą sztucznej inteligencji (AI). Współpraca ta doprowadziła do opracowania modelu oceny ryzyka opartego na AI, który może ilościowo oceniać podatność kodu oprogramowania.

Nowy model wykazał 41% poprawę w wykrywaniu powszechnych podatności i eksploatacji (CVE) podczas pierwszego etapu analizy. Kolejne testy dały równie imponujące wyniki, a Acronis SCS planuje udostępnić model po jego ukończeniu.

Dostawcy oprogramowania i sektor publiczny

Jednym z największych zalet tej technologii jest to, że może być wykorzystywana przez innych dostawców oprogramowania i organizacje sektora publicznego. Dzięki jej użyciu, walidacja łańcucha dostaw oprogramowania może zostać poprawiona bez negatywnego wpływu na innowacje lub możliwości małych firm, a jest to także niedrogi narzędzie dla tych organizacji.

Model oparty na AI firmy Acronis SCS opiera się na głębokim sieci neuronowym, który skanuje zarówno kod źródłowy oprogramowania open-source, jak i własnościowego. Może on dostarczyć bezstronne ilościowe oceny ryzyka, które administratorzy IT mogą wykorzystać do podejmowania dokładnych decyzji dotyczących wdrożenia nowych pakietów oprogramowania i aktualizacji istniejących.

Firma wykorzystuje model językowy do osadzania kodu. Jest to rodzaj głębokiego uczenia, który łączy warstwę osadzania z siecią neuronową (RNN). Wykorzystuje się techniki próbkowania i algorytmy klasyfikacji, takie jak boosting, lasy losowe i sieci neuronowe, do pomiaru modelu.

Dr Joe Barr jest Starszym Dyrektorem Badań w firmie Acronis SCS.

“Wykorzystujemy model językowy do osadzania kodu. Model językowy jest formą głębokiego uczenia, który łączy warstwę osadzania z siecią neuronową (RNN)”, powiedział Dr Barr w rozmowie z Unite.AI.

“Wejście składa się z par funkcji (funkcja, tag) a wyjście jest prawdopodobieństwem P(y=1 | x), że funkcja jest podatna na hakowanie (błędna). Ponieważ pozytywne tagi są rzadkie, wykorzystujemy różne techniki próbkowania i algorytmy klasyfikacji (takie jak boosting, lasy losowe i sieci neuronowe). Mierzymy “dobre” przez ROC/AUC i percentyl lift (liczba “złych” w górnym k percentylu, k=1,2,3,4,5)”.

Wydajny proces walidacji

Inną wielką szansą dla tej technologii jest jej zdolność do uczynienia procesu walidacji znacznie bardziej wydajnym.

“Walidacja łańcucha dostaw, umieszczona w procesie walidacji, pomoże zidentyfikować błędny lub podatny kod i uczyni proces walidacji bardziej wydajnym o kilka rzędów wielkości”, kontynuował.

Jak we wszystkich przypadkach AI i oprogramowania, jest niezwykle ważne, aby zrozumieć i rozwiązać potencjalne ryzyka. Zapytany, czy istnieją jakieś ryzyka specyficzne dla oprogramowania open-source (OSS), Dr Barr powiedział, że istnieją zarówno ogólne, jak i specyficzne.

“Istnieją ogólne ryzyka i specyficzne ryzyka”, powiedział. “Ogólne ryzyko obejmuje “niewinne” błędy w kodzie, które mogą być wykorzystane przez złowrogiego aktora. Specyficzne ryzyka dotyczą aktora przeciwnika (takiego jak agencja sponsorowana przez państwo), który celowo wprowadza błędy do oprogramowania open-source, aby wykorzystać je w pewnym momencie”.

Początkowe wyniki analizy zostały opublikowane w IEEE pod tytułem “Klasyfikacja kombinatoryczna kodu i podatność“.