Acronis SCS e Acadêmicos Líderes se Unem para Desenvolver Modelo de Pontuação de Risco Baseado em IA

A empresa de proteção cibernética dos EUA, Acronis SCS, se uniu a acadêmicos líderes para melhorar o software por meio do uso de inteligência artificial (IA). A colaboração desenvolveu um modelo de pontuação de risco baseado em IA capaz de avaliar quantitativamente a vulnerabilidade do código de software.

O novo modelo demonstrou uma melhoria de 41% na detecção de vulnerabilidades e exposições comuns (CVEs) durante a primeira etapa da análise. Os testes subsequentes resultaram em resultados igualmente impressionantes, e a Acronis SCS está prestes a compartilhar o modelo após sua conclusão.

Fornecedores de Software e Setor Público

Um dos maiores aspectos dessa tecnologia é que ela pode ser utilizada por outros fornecedores de software e organizações do setor público. Por meio de seu uso, a validação da cadeia de suprimento de software pode ser melhorada sem prejudicar a inovação ou as oportunidades para pequenas empresas, e é uma ferramenta acessível para essas organizações.

O modelo baseado em IA da Acronis SCS depende de uma rede neural de aprendizado profundo que varre o código de fonte aberto e proprietário. Ele pode fornecer núcleos de risco quantitativo imparcial que os administradores de TI podem usar para tomar decisões precisas sobre a implantação de novos pacotes de software e a atualização de pacotes existentes.

A empresa usa um modelo de linguagem para incorporar o código. Um tipo de aprendizado profundo, o modelo de linguagem combina uma camada de incorporação com uma rede neural recorrente (RNN). Técnicas de amostragem e algoritmos de classificação, como boosting, random forests e redes neurais, são usados para medir o modelo.

O Dr. Joe Barr é o Diretor Sênior de Pesquisa da Acronis SCS.

“Usamos um modelo de linguagem para incorporar o código. O modelo de linguagem é uma forma de aprendizado profundo que combina uma camada de incorporação com uma rede neural recorrente (RNN)”, disse o Dr. Barr à Unite.AI.

“A entrada consiste em pares de funções (função, tag) e a saída é uma probabilidade P(y=1 | x) de que uma função é vulnerável a hacks (com bugs). Como as tags positivas são raras, usamos várias técnicas de amostragem e algoritmos de classificação (como boosting, random forests e redes neurais). Medimos a “bondade” por ROC/AUC e um aumento percentual (número de “ruins” no percentil superior k, k=1,2,3,4,5).”

Processo de Validação Eficiente

Outra grande oportunidade para essa tecnologia é sua capacidade de tornar o processo de validação muito mais eficiente.

“A validação da cadeia de suprimento, colocada dentro de um processo de validação, ajudará a identificar código com bugs/vulneráveis e tornará o processo de validação mais eficiente por várias ordens de magnitude”, continuou ele.

Como em todos os casos de IA e software, é crucial entender e abordar quaisquer riscos potenciais. Quando questionado se há riscos únicos para o software de código aberto (OSS), o Dr. Barr disse que há riscos genéricos e específicos.

“Há riscos genéricos e específicos”, disse ele. “O risco genérico inclui ‘bugs inocentes’ no código que podem ser explorados por um ator mal-intencionado. Riscos específicos relacionam-se a um ator adversário (como uma agência patrocinada pelo Estado) que introduz deliberadamente bugs no código aberto para serem explorados em algum momento.”

Os resultados iniciais da análise foram publicados na IEEE, intitulados “Classificação de Código Combinatório e Vulnerabilidade.”