Acronis SCS e Leading Academics fazem parceria para desenvolver modelo de pontuação de risco baseado em IA

Empresa de proteção cibernética dos EUA Acronis SCSGenericName fez parceria com os principais acadêmicos para melhorar o software por meio do uso de inteligência artificial (IA). A colaboração desenvolveu um modelo de pontuação de risco baseado em IA capaz de avaliar quantitativamente a vulnerabilidade do código de software. 

O novo modelo demonstrou uma melhoria de 41% na detecção de vulnerabilidades e exposições comuns (CVEs) durante seu primeiro estágio de análise. Os testes a seguir resultaram em resultados igualmente impressionantes, e o Acronis SCS está configurado para compartilhar o modelo após sua conclusão. 

Fornecedores de Software e Setor Público

Um dos maiores aspectos dessa tecnologia é que ela pode ser utilizada por outros fornecedores de software e organizações do setor público. Por meio de seu uso, a validação da cadeia de suprimentos de software pode ser aprimorada sem prejudicar a inovação ou a oportunidade de pequenos negócios, além de ser uma ferramenta acessível para essas organizações. 

O modelo baseado em IA do Acronis SCS conta com uma rede neural de aprendizado profundo que verifica o código-fonte aberto e proprietário. Ele pode fornecer núcleos de risco quantitativos imparciais que os administradores de TI podem usar para tomar decisões precisas envolvendo a implantação de novos pacotes de software e a atualização dos existentes. 

A empresa usa modelo de linguagem para incorporar código. Um tipo de aprendizado profundo, o modelo de linguagem combina uma camada de incorporação com uma rede neural recorrente (RNN). Técnicas de upsampling e algoritmos de classificação, como boosting, florestas aleatórias e redes neurais, são usados ​​para medir o modelo. 

Dr. Joe Barr é Diretor Sênior de Pesquisa da Acronis SCS. 

“Usamos o modelo de linguagem para incorporar o código. O modelo de linguagem é uma forma de aprendizado profundo que combina uma camada de incorporação com rede neural recorrente (RNN)”, disse o Dr. Barr ao Unite.AI. 

“A entrada consiste em pares de funções (função, tag) e a saída é uma probabilidade P(y=1 | x) de que uma função é vulnerável a hack (bug). Como tags positivas são raras, usamos várias técnicas de amostragem e algoritmos de classificação (como boosting, florestas aleatórias e redes neurais). Medimos “bom” por ROC/AUC e um aumento de percentil (número de “ruins” no percentil superior k, k = 1,2,3,4,5).”

Processo de validação eficiente

Outra grande oportunidade para essa tecnologia é sua capacidade de tornar o processo de validação muito mais eficiente. 

“A validação da cadeia de suprimentos, colocada dentro de um processo de validação, ajudará a identificar códigos com bugs/vulneráveis ​​e tornará o processo de validação mais eficiente em várias ordens de magnitude”, continuou ele. 

Como acontece com toda IA ​​e software, é crucial entender e lidar com quaisquer riscos potenciais. Quando perguntado se há algum risco exclusivo do software de código aberto (OSS), o Dr. Barr disse que há riscos genéricos e específicos. 

“Existem riscos genéricos e riscos específicos”, disse ele. “O risco genérico inclui bugs “inocentes” no código que podem ser explorados por um ator nefasto. Riscos específicos estão relacionados a um ator adversário (como uma agência patrocinada pelo estado) que deliberadamente introduz bugs no código aberto para serem explorados em algum momento.”

Os resultados iniciais da análise foram publicados no IEEE intitulado "Classificação e Vulnerabilidade de Código Combinatório. "