RevEng.AI зібрав 15 мільйонів доларів серії А для перевірки безпеки та цілісності програмного забезпечення, згенерованого штучним інтелектом

Оскільки код, згенерований штучним інтелектом, все більше впроваджується в корпоративні та урядові системи, стартапи з кібербезпеки спішать вирішити проблему зростаючої недовіри: як організації можуть перевірити, що насправді працює всередині програмного забезпечення, яке вони розгортають. RevEng.AI оголосив про trònду фінансування серії А на суму 15 мільйонів доларів під керівництвом Фонду інновацій НАТО, з участю Sands Capital, In-Q-Tel, IQ Capital та Episode One. Компанія заявляє, що фінансування допоможе розширити свою платформу, призначену для аналізу скомпільованих бінарних файлів програмного забезпечення для прихованих загроз, шкідливої функціональності та ризиків ланцюга постачання програмного забезпечення.

Лондонська компанія зосереджена на зростаючому виклику в галузі кібербезпеки: нездатність організацій повністю інспектувати програмне забезпечення після його компіляції в виконувану форму. Традиційні інструменти безпеки програмного забезпечення в основному зосереджені на аналізі вихідного коду, репозиторіях та метаданих пакетів. Однак скомпільовані бінарні файли, які насправді працюють на системах, часто залишаються непрозорими, особливо при роботі з програмним забезпеченням третіх сторін, фірмовим програмним забезпеченням або закритими застосунками.

Зростаючий ризик коду, згенерованого штучним інтелектом

Промисловість програмного забезпечення переживає велику трансформацію, оскільки асистенти кодування штучного інтелекту еволюціонують у все більш автономні агенти кодування, здатні генерувати та розгортати великі об’єми програмного забезпечення з мінімальним наглядом людини. Хоча цей зсув прискорює цикли розробки, він також створює нові сліпі місця безпеки.

RevEng.AI стверджує, що організації вступають у епоху, коли значна частина програмного забезпечення, яке відправляється, може ніколи не бути повністю переглянуте людиною. Це вводить занепокоєння щодо прихованих уразливостей, вбудованої шкідливої функціональності та непередбачуваної поведінки, які можуть залишатися невидимими всередині скомпільованих виконавчих файлів.

Ця проблема стає особливо значущою в середовищах, де програмне забезпечення керує фінансовими системами, мережами охорони здоров’я, енергетичними мережами, системами транспорту, операціями оборони. Скомпрометована компонента програмного забезпечення, захована в ланцюзі залежностей, потенційно може вплинути на мільйони користувачів або порушити критичну інфраструктуру.

Атаки на ланцюг постачання програмного забезпечення вже стали однією з найшвидше зростаючих загроз кібербезпеки у світі. Високопрофільні інциденти за останні кілька років продемонстрували, як атакувальники можуть проникнути в довірені оновлення програмного забезпечення або бібліотеки третіх сторін, щоб отримати широкий доступ до корпоративних систем. RevEng.AI намагається вирішити цю проблему, перейшовши зусилля з верифікації безпосередньо на бінарний рівень.

Аналіз програмного забезпечення без вихідного коду

Одним з найбільш помітних аспектів технології RevEng.AI є те, що вона працює без доступу до вихідного коду. Натомість платформа працює безпосередньо зі скомпільованими бінарними файлами, виконавчими файлами, фірмовим програмним забезпеченням та іншими машинними артефактами програмного забезпечення.

Цей підхід важливий, оскільки багато організацій регулярно покладаються на програмне забезпечення, розроблене зовнішніми постачальниками, відкритими спільнотами або підрядниками. У багатьох випадках оригінальний вихідний код може бути недоступним, непрактичним для інспекції або навіть зовсім відсутнім.

Платформа RevEng.AI використовує фундаментальну модель штучного інтелекту під назвою BinNet, яку компанія заявляє, що була навчена разом з елітними кібер-одиницями урядів та комерційних команд безпеки. Система призначена для автоматизації завдань зворотної інженерії, традиційно виконуваних високоспеціалізованими експертами.

Вивчаючи бінарні файли безпосередньо, платформа, як повідомляється, може ідентифікувати приховані компоненти, підозрілі зміни випуску, шкідливу поведінку, уразливості та непередбачувану функціональність, вбудовану в артефакти програмного забезпечення до їх розгортання.

Компанія заявляє, що це суттєво зменшує час та експертизу, необхідні для інспекції цілісності програмного забезпечення вручну, галузі, яка історично залежала від рідкісного таланту зворотної інженерії.

Чому бінарна верифікація має значення

Більшість сучасних інструментів кібербезпеки все ще зосереджені навколо репозиторіїв вихідного коду та заявлених залежностей програмного забезпечення. Однак скомпільований виконавчий файл, який насправді працює на машині, може суттєво відрізнятися від того, що організації думають, що вони розгортають.

Ця відмінність стає все більш важливою, оскільки системи штучного інтелекту починають генерувати програмне забезпечення автономно. Команди розробки можуть не повністю розуміти кожну залежність, згенерований модуль або вбудовану поведінку, включену в додатки, створені з допомогою штучного інтелекту.

Підхід RevEng.AI фактично розглядає сам бінарний файл як остаточне джерело правди. Натомість ніж покладатися виключно на заяви про те, що містить програмне забезпечення, платформа намагається інспектувати, що насправді присутнє всередині виконавчого файлу, який буде працювати на системах виробництва.

За словами компанії, її платформа може порівнювати нові випуски програмного забезпечення з довіреними версіями, ідентифікувати аномальний дрейф між збірками та виявляти приховані або незаявлені компоненти, які можуть бути введені під час розробки або розгортання.

Цей тип верифікації може стати особливо важливим для організацій, які керують складними ланцюгами постачання програмного забезпечення, які включають постачальників третіх сторін, підрядників, відкриті компоненти та код, згенерований штучним інтелектом.

Майбутнє верифікації програмного забезпечення

Зростання автономних систем кодування, ймовірно, змінить те, як організації думають про довіру до програмного забезпечення та безпеку протягом наступного десятиліття. Коли програмне забезпечення, згенероване штучним інтелектом, стає все більш поширеним, обсяг коду, який вводиться в середовища виробництва, може в кінцевому підсумку перевищити той, який людські рецензенти можуть реально інспектувати вручну.

Цей зсув може змусити бінарну верифікацію та автоматичну зворотну інженерію зайняти центральну роль у операціях з кібербезпекою підприємств. Натомість ніж розглядати зворотну інженерію як нішу дисципліну, зарезервовану для елітних дослідників безпеки, організації можуть почати інтегрувати безперервну бінарну інспекцію безпосередньо у процеси закупівлі, розгортання та оновлення програмного забезпечення.

Вплив поширюється за межі традиційної кібербезпеки. Індустрії, такі як охорона здоров’я, фінанси, енергетика, транспорт, виробництво та оборона, все більше залежать від взаємопов’язаних екосистем програмного забезпечення, де приховані уразливості або шкідлива функціональність можуть мати каскадні операційні наслідки.

Водночас швидке впровадження агентів кодування штучного інтелекту може створити тиск на зовсім нові форми відповідальності програмного забезпечення. Організації можуть в кінцевому підсумку вимагати незалежні шари верифікації, здатні підтверджувати, що розгорнуте програмне забезпечення поводиться так, як очікувалося, незалежно від того, як або де був згенерований код.

Оскільки розробка програмного забезпечення стає все більш автоматизованою, технології, орієнтовані на інспекцію скомпільованих бінарних файлів, а не виключно на аналіз вихідного коду, можуть стати важливою частиною того, як підприємства забезпечать безпеку наступного покоління інфраструктури, керованої штучним інтелектом.