RevEng.AI pozyskał 15 milionów dolarów w ramach rundy finansowania serii A, aby zweryfikować bezpieczeństwo i integralność oprogramowania wygenerowanego przez sztuczną inteligencję

Ponieważ kod wygenerowany przez sztuczną inteligencję staje się coraz bardziej zintegrowany z systemami przedsiębiorstw i rządów, startupy z branży cyberbezpieczeństwa rywalizują o rozwiązanie rosnącego problemu zaufania: jak organizacje mogą zweryfikować, co tak naprawdę działa w oprogramowaniu, które wdrożono. RevEng.AI ogłosił rundę finansowania serii A o wartości 15 milionów dolarów, której przewodniczy NATO Innovation Fund, z udziałem Sands Capital, In-Q-Tel, IQ Capital oraz Episode One. Firma twierdzi, że finansowanie to pomoże w rozwinięciu platformy zaprojektowanej do analizy skompilowanych binariów oprogramowania w celu wykrycia ukrytych zagrożeń, funkcjonalności złośliwej oraz ryzyka łańcucha dostaw oprogramowania.

Londyńska firma koncentruje się na rosnącym wyzwaniu w dziedzinie cyberbezpieczeństwa: niezdolności organizacji do pełnego inspekcjonowania oprogramowania po skompilowaniu go do postaci wykonywalnej. Tradycyjne narzędzia bezpieczeństwa aplikacji w dużej mierze koncentrują się na analizie kodu źródłowego, repozytoriach i metadanych pakietów. Skompilowane binarie, które tak naprawdę działają na systemach, często pozostają nieprzezroczyste, szczególnie przy pracy z oprogramowaniem dostarczonym przez osoby trzecie, firmware lub aplikacjami zamkniętymi.

Rosnące ryzyko kodu wygenerowanego przez sztuczną inteligencję

Przemysł oprogramowania przechodzi przez znaczącą transformację, ponieważ asystenci kodowania sztucznej inteligencji ewoluują w coraz bardziej autonomiczne agenty kodowania zdolne do generowania i wdrażania dużych ilości oprogramowania z minimalnym nadzorem ludzkim. Chociaż ten trend przyspiesza cykle rozwoju, tworzy również nowe punkty nieuwagi w zakresie bezpieczeństwa.

RevEng.AI twierdzi, że organizacje wkraczają w erę, w której większość oprogramowania dostarczanego może nigdy nie zostać w pełni przeglądana przez człowieka. To wprowadza obawy dotyczące ukrytych luk w zabezpieczeniach, wbudowanej funkcjonalności złośliwej oraz niezamierzonych zachowań, które mogą pozostać niewidoczne w skompilowanych plikach wykonywalnych.

Problem ten staje się szczególnie istotny w środowiskach, w których oprogramowanie napędza systemy finansowe, sieci zdrowotne, sieci energetyczne, systemy transportowe i operacje obronne. Skompromitowany komponent oprogramowania ukryty w łańcuchu zależności może potencjalnie wpłynąć na miliony użytkowników lub zakłócić krytyczną infrastrukturę.

Ataki na łańcuch dostaw oprogramowania stały się już jednym z najszybciej rosnących zagrożeń cyberbezpieczeństwa na świecie. Wysoko uwidacznione incydenty w ciągu ostatnich kilku lat pokazały, jak atakujący mogą infiltrować zaufane aktualizacje oprogramowania lub biblioteki osób trzecich, aby uzyskać szeroki dostęp do systemów przedsiębiorstw. RevEng.AI próbuje rozwiązać to wyzwanie, przenosząc wysiłki weryfikacyjne bezpośrednio na poziom binarny.

Analiza oprogramowania bez kodu źródłowego

Jednym z bardziej godnych uwagi aspektów technologii RevEng.AI jest to, że działa bez wymogu dostępu do kodu źródłowego. Zamiast tego platforma działa bezpośrednio na skompilowanych binariach, plikach wykonywalnych, firmware i innych maszynowych artefaktach oprogramowania.

Ten podejście jest ważne, ponieważ wiele organizacji rutynowo polega na oprogramowaniu opracowanym na zewnątrz przez dostawców, społeczności open-source lub kontrahentów. W wielu przypadkach oryginalny kod źródłowy może nie być dostępny, praktyczny do inspekcji lub w ogóle dostępny.

Platforma RevEng.AI wykorzystuje podstawowy model sztucznej inteligencji o nazwie BinNet, który firma twierdzi, że został przeszkolony wraz z elitarnymi jednostkami cybernetycznymi w ramach sojuszniczych rządów i komercyjnych zespołów bezpieczeństwa. System jest zaprojektowany do automatyzacji zadań inżynierii wstecznej, które tradycyjnie są obsługiwane przez wysoko wyspecjalizowanych ekspertów.

Przez bezpośrednią analizę binariów platforma może rzekomo identyfikować ukryte komponenty, podejrzane zmiany wydania, zachowania złośliwe, luki w zabezpieczeniach oraz nieoczekiwaną funkcjonalność wbudowaną w artefakty oprogramowania przed ich wdrożeniem.

Firma twierdzi, że to dramatycznie redukuje czas i wymagane ekspertyzy do inspekcjonowania integralności oprogramowania ręcznie, obszar, który historycznie zależał od rzadkiego talentu inżynierskiego.

Dlaczego weryfikacja na poziomie binarnym ma znaczenie

Większość dzisiejszych narzędzi cyberbezpieczeństwa nadal koncentruje się na repozytoriach kodu źródłowego i deklarowanych zależnościach oprogramowania. Jednak skompilowany plik wykonywalny, który ostatecznie działa na maszynie, może znacznie różnić się od tego, co organizacje uważają, że wdrożono.

Ta różnica staje się coraz bardziej istotna, gdy systemy sztucznej inteligencji zaczynają generować oprogramowanie autonomicznie. Zespoły developerskie mogą nie w pełni rozumieć każdej zależności, wygenerowanego modułu lub wbudowanej funkcjonalności w aplikacjach wspomaganych przez sztuczną inteligencję.

Podejście RevEng.AI skutecznie traktuje sam skompilowany binarny plik jako ostateczne źródło prawdy. Zamiast polegać wyłącznie na deklaracjach dotyczących zawartości oprogramowania, platforma próbuje inspekcjonować, co tak naprawdę jest obecne w pliku wykonywalnym, który będzie działał na systemach produkcyjnych.

Zdaniem firmy jej platforma może porównywać nowe wydania oprogramowania z wersjami zaufanymi, identyfikować nieprawidłowe odchylenia między kompilacjami oraz ujawniać ukryte lub niezadeklarowane komponenty, które mogły zostać wprowadzone podczas rozwoju lub wdrożenia.

Ten typ weryfikacji może stać się szczególnie istotny dla organizacji zarządzających złożonymi łańcuchami dostaw oprogramowania, które obejmują dostawców osób trzecich, kontrahentów, komponenty open-source oraz kod wygenerowany przez sztuczną inteligencję.

Przyszłość weryfikacji oprogramowania

Wzrost systemów kodowania autonomicznych może zmienić sposób, w jaki organizacje myślą o zaufaniu i bezpieczeństwie oprogramowania w ciągu najbliższej dekady. Gdy oprogramowanie wygenerowane przez sztuczną inteligencję staje się bardziej powszechne, objętość kodu wprowadzanego do środowisk produkcyjnych może ostatecznie przekroczyć to, co ludzcy przeglądający mogą realistycznie sprawdzić ręcznie.

To mogłoby przesunąć weryfikację na poziomie binarnym i automatyczne inżynierię wsteczną do centralnej roli w ramach operacji cyberbezpieczeństwa przedsiębiorstw. Zamiast traktować inżynierię wsteczną jako wąską dyscyplinę zarezerwowaną dla elitarnych badaczy bezpieczeństwa, organizacje mogą zacząć integrować ciągłą inspekcję binarną bezpośrednio do workflow rozwoju, wdrożenia i aktualizacji oprogramowania.

Wnioski sięgają poza tradycyjne cyberbezpieczeństwo. Branże takie jak opieka zdrowotna, finanse, energia, transport, produkcja i obrona w coraz większym stopniu zależą od połączonych ekosystemów oprogramowania, w których ukryte luki w zabezpieczeniach lub funkcjonalność złośliwa mogą mieć lawinowe konsekwencje operacyjne.

Jednocześnie szybka adopcja agentów kodowania sztucznej inteligencji może wytworzyć presję na zupełnie nowe formy odpowiedzialności oprogramowania. Organizacje mogą ostatecznie wymagać niezależnych warstw weryfikacji, które będą w stanie potwierdzić, że wdrożone oprogramowanie działa zgodnie z oczekiwaniami, niezależnie od tego, jak lub gdzie kod został wygenerowany.

Podczas gdy rozwój oprogramowania staje się coraz bardziej zautomatyzowany, technologie koncentrujące się na inspekcjonowaniu skompilowanych binariów zamiast polegania wyłącznie na analizie kodu źródłowego mogą stać się ważną częścią tego, jak przedsiębiorstwa zabezpieczają następną generację infrastruktury napędzanej przez sztuczną inteligencję.