Acronis SCS và Các Học Giả Hàng Đầu Hợp Tác Phát Triển Mô Hình Đánh Giá Rủi Ro Dựa Trên Trí Tuệ Nhân Tạo

Công ty bảo vệ mạng U.S Acronis SCS đã hợp tác với các học giả hàng đầu để cải thiện phần mềm thông qua việc sử dụng trí tuệ nhân tạo (AI). Sự hợp tác này đã phát triển một mô hình đánh giá rủi ro dựa trên AI có khả năng đánh giá lượng hóa khả năng dễ bị tấn công của mã phần mềm.

Mô hình mới này đã chứng minh sự cải thiện 41% trong việc phát hiện các điểm yếu và lỗ hổng bảo mật (CVEs) trong giai đoạn đầu tiên của phân tích. Các thử nghiệm tiếp theo cũng cho kết quả ấn tượng, và Acronis SCS dự định sẽ chia sẻ mô hình này khi nó hoàn thành.

Nhà Cung Cấp Phần Mềm và Khu Vực Công

Một trong những khía cạnh tuyệt vời nhất của công nghệ này là nó có thể được sử dụng bởi các nhà cung cấp phần mềm khác và các tổ chức khu vực công. Thông qua việc sử dụng nó, việc xác thực chuỗi cung ứng phần mềm có thể được cải thiện mà không ảnh hưởng đến sự đổi mới hoặc cơ hội kinh doanh nhỏ, và nó là một công cụ tiết kiệm chi phí cho các tổ chức này.

Mô hình dựa trên AI của Acronis SCS dựa trên một mạng lưới thần kinh sâu quét qua cả mã nguồn mở và mã nguồn độc quyền. Nó có thể cung cấp các điểm rủi ro lượng hóa không thiên vị mà các quản trị viên IT có thể sử dụng để đưa ra quyết định chính xác về việc triển khai các gói phần mềm mới và cập nhật các gói hiện có.

Công ty sử dụng mô hình ngôn ngữ để nhúng mã. Một loại học sâu, mô hình ngôn ngữ kết hợp một lớp nhúng với mạng lưới thần kinh hồi quy (RNN). Các kỹ thuật lấy mẫu lên và các thuật toán phân loại như tăng cường, rừng ngẫu nhiên và mạng lưới thần kinh được sử dụng để đo lường mô hình.

Tiến sĩ Joe Barr là Giám đốc Nghiên cứu cấp cao của Acronis SCS.

“Chúng tôi sử dụng mô hình ngôn ngữ để nhúng mã. Mô hình ngôn ngữ là một hình thức học sâu kết hợp một lớp nhúng với mạng lưới thần kinh hồi quy (RNN),” Tiến sĩ Barr cho biết trong một cuộc phỏng vấn với Unite.AI.

“Đầu vào bao gồm các cặp hàm (hàm, thẻ) và đầu ra là một xác suất P(y=1 | x) mà một hàm có thể dễ bị tấn công (lỗi). Vì các thẻ dương là hiếm, chúng tôi sử dụng các kỹ thuật lấy mẫu lên và các thuật toán phân loại (như tăng cường, rừng ngẫu nhiên và mạng lưới thần kinh). Chúng tôi đo lường “tính tốt” bằng ROC/AUC và một sự tăng phân vị (số lượng “xấu” trong phân vị hàng đầu, k=1,2,3,4,5).”

Quy Trình Xác Thực Hiệu Quả

Một cơ hội tuyệt vời khác cho công nghệ này là khả năng làm cho quy trình xác thực trở nên hiệu quả hơn.

“Xác thực chuỗi cung ứng, đặt bên trong một quy trình xác thực, sẽ giúp xác định mã dễ bị tấn công và sẽ làm cho quy trình xác thực trở nên hiệu quả hơn nhiều lần,” ông tiếp tục.

Như với tất cả AI và phần mềm, điều quan trọng là phải hiểu và giải quyết bất kỳ rủi ro tiềm ẩn nào. Khi được hỏi liệu có bất kỳ rủi ro nào đặc biệt cho phần mềm mã nguồn mở (OSS), Tiến sĩ Barr cho biết có cả rủi ro chung và riêng.

“Có rủi ro chung và rủi ro riêng,” ông nói. “Rủi ro chung bao gồm các lỗi ‘trong sáng’ trong mã có thể bị khai thác bởi một tác nhân độc hại. Rủi ro riêng liên quan đến một tác nhân đối lập (như một cơ quan được nhà nước tài trợ) cố ý đưa ra các lỗi vào mã nguồn mở để khai thác tại một thời điểm nào đó.”

Kết quả ban đầu của phân tích đã được xuất bản trên IEEE với tiêu đề “Phân Loại và Khả Năng Tiếp Cận Mã.”