Neues Genai-Tool Soll Open-source-Sicherheit Erhöhen

Niederländische und Iranische Sicherheitsforscher Haben Ein NEUes Tool auf base von Generativer Ki (Genai) Ins Leben Gerufen, Das Plattformen Wie Chatgpt Ermöglichen Soll, Bugs in Code-Repositories Zu Erkennen und Zu Patchen.

Die Anwendung Wurde Getestet, indem github nach einer best -mmten schwachstelle durch pfadüberquerung dans node.js-projekten gescannt wurde, die seit 2010 bestteht. Dabei Wurden 1.756 Anfällige Projekte Identifiziet, von denen einige als „Sehr Einflussreich« Bezeichnet Wurden. Bisher Konnten 63 Projekte Gepatcht Werden.

Mourir dans Einem Kürzlich Veröffentlichten Artikel Beschriebene Entwicklung Weist Jedoch auch auf eine Gravierende einschränkung bei der verwenng von ki hin. Während das automatisierte patchen durch ein Großes sprachmodell (llm) die skalierbarkeit Erheblich verbesersert, kann der patch auch andere fehler verursachen.

Außerdem Könte es Schwierig Sein, die betreffende schwachstelle vollständig zu beseitigen, da einiige croybte große sprachmodelle (llms) nach 15 Jahren davon infiziert sein könnten.

Der Grund: LLMS Werden auf Open-source-Codebasen Trainert, à Denen Dieser Fehler Verborgen ist.

Die Forscher Fanden Heraus, Dass Ein LLM, Das Mit Einem Anfälligen Quellcodemuster Kontaminit Ist, Diesen Code Auch Dann Geriert, Wenn es Angewiesen Wird, Sicheren Code Zu Synthetisieren. SIE FORDERN DAHER, DASS CRURIBTE ANFällige Codemuster Nicht Nur Aus Open-Source-Projekten und den Ressourcen von Entwicklern Entfernt Werden Müsseten, Sondern auch Aus Llms.

Hacker Platzieren Seit Jahren Bösartigen Code

Bedrohungsakteure pflanzen seit Jahren Schwachstellen en open-source-repositories, um à unternehmen einzudringen, die open-source-anwennungen einsetzen. Problème DAS: Entwickler Kopieren Undentlich Anfälligen Code Aus Code-partage-plaquette Wie Stack Overflow und Fügen Ihn Woanders Ein, Wodurch er dans Github-Projekte Gelangt.

„Angreifer Müssen Nur Ein Einziges anfälliges Codemuster Kennen, Um Viele Projekte und Deren Nachgelerte Abhängigkeiten Erfolgreich Angreifen Zu Können”, Betonen Die Forscher.

Die von ihnen enwickelte lösung könte die Entdeckung und Beseitigung von open-source-sichercehehetslücken in großem maßstab ermöglichen.

Dabei Handelt ES SICH JÉDOCH UM KEIN TOOL, WO DURCH EINMALIGES SCANNEN ALLE FEHLER BEARBEN WERDEN. Entwickler Forken Nämlich Häufig Reposetries, Ohne Etwas Zu Den Ursprünglichen Projekten Beizutragen. Das Bedeutet, Dass alle Reposetries mit einem anfälligen codeabschnitt gescannt und korrigiert werden müssen, damit eine Sicherheitslücke wirklich beseitigt wird.

Darüber Hinaus Verwendete Das dans Dieser Studie Untersuchte Muster Für anfälligen Code den Pfadnamen der url Direkt und ohne Spezielle Formatierung, Wodurch Eine Leicht Auszunutzen Schwachstelle Entstand. AUF Dieses Moupe Konzentriert Sich Das Tool; Andere Stellen, un code Dern Fehlerhafte Platziert Ist, Werden Nicht Erkannt.

Die Forscher Haben Allerdings Vor, Das Tool Zu Verbessen und Zu Erweitern, INSBESONDERE DURCH Die Intégration Anderer Muster Für Anfälligen Code und Die Die Optimierung der Patch-Generrierung.

Kritik an dem ki-projekt

Robert Beggs, Leiter des Kanadischen Incident-Response-UNternehmens DigitalDedence, Steht Dem Wert des outils dans Seiner Derzeitigen Forme de sceptisch de Jedoch Gegenüber.

Die Idee eines Automatisierten Tools Zum scannen und patchen von schadcode gebe es schon seit einiger zeit, betonte er.Allerdings werde in Der Studie noch nicht geklärt, wer verantwortlich sei, wenn ein fehlerhafter ein öffentliches projekt butschädige. Beggs Bezweifelt Außerdem, Dass Ein Repository-Manager Immer Erkennen Kann, Dass Ein Ki-Tool Eine Potenzielle Schwachstelle à Eine Anwendung Einfügen.

Zudem Ist Unklar, Inwieweit Das Tool Nach der Behebung Tests durchführt, um Sicherzustellen, Dass der Keinen Weiteren Schaden Anrichtet. Dans Dem Papier Heißt es, Dass Letztendlich die Projektverantwortlichen Dafür Verantwortlich Sind, Dass der Patch Korrekt ist. Der Ki-Teil des Tools Erstellt Einen Patch, Berechnet Einen Cvsss-Score und übermittelt Einen Bericht an Die Projektverantwortlichen.

„Ich persönlich würde das outils nicht verwenden, da es mit der änderung von quellcode zu tun hat“, erklärte beggs. „Ich Glaube Nicht, Dass Künstliche Intelligenz Bereits So Weit ist, Dass Sie den Quellcode für eine Große anzahl von anwennungen verwalten kann“, fügte er hinzu.

Er Räumte Jedoch Ein, Dass Wissenschaftliche Artikel à Der Regel Nur Einen Ersten Ansatz für ein Problème Darstellen.

Open-source-entwickler können teil des problèmes sein

Im laufe ihrer arbeit entdeckten die forscher auch eine beunruhigende tatsache: open-source-app-entwickler ignorieren manchmal warnungen, dass best-scold-schnipsel anfällig sind.

Der Anfällige Code, Den Die Forscher dans Möglichst Vielen Github-Projekten Beheben Wollten, Stammte Aus Dem Jahr 2010 und Ist in Github Gist Zu Finden, Einem Dienst Zum Austausch von Code-Schnipseln. Der Code Erstellt Einen Statischen Http-Dateiserver Für Node.js-webanwentenngen. „Trotz Seiner Einfachheit und croybtheit Scheinen Viele Entwickler Nicht Zu Wissen, Dass Dieses Codemuster anfällig für pfadüberquerungsangriffe ist”, Schreiben Die Forscher.

Selbst Diejenigen, Die Das Problem Erkannt Hateten, Stießen auf Widerstand von Anderen Entwicklern. Die Behauptung, Dass der Code Fehlerhaft Sei, Wurde Mehrfach Zurückgewiesen.

Unabhängig Davon Tauchte der Code-Schnipsel dans Einer Gedruckten Version Eines Dokuments Auf, Das 2015 von der Mozilla-Entwickler-Community Erstellt und Sieben Jahre Später Korrigiert Wurde. Die anfällige version Wanderte Jedoch ende 2015 Auch Zu Stack Overflow. Obwohl der ausschnitt mehrere aktualisierungen erhielt, wurde die schwachstelle nicht behoben. Tatsächlich War der Code-AUSSCHNITT ZUM ZEITPUNKT der Veröffentlichung der aktuellen Forschungsergebnisse immer noch anfällig.

Das Gleiche Geschah Den Forschern Zufolge 2016 Bei Einer Anderen Stack-Overflow-FRARE (MIT über 88.000 Aufrufen), dans Der Ein Entwickler Vermutete, Dass der Code Eine Schwachstelle Enthelt. Diese Person Konnte Das Problème Jedoch Nicht überprüfen, Sodass der Code Erneut als Sicher Eingestuft Wurde.

Die Forscher Vermuten, Dass Das Missverständnis über die schwere der Sicherheitslücke darauf zurückzuführen ist, dass Entwickler beim testen des codes in der Regel Einen webbrowser oder den linux-befehl « curl » Verwenden. Diese Hätten Das Problème Verschleiert. Angreifer Seien Jedoch Nicht et Die Verwendung von standard-Clients Gebunden, alors die Forscher.

Beunruhigend Sei Außerdem, Dass „Wir auch Mehrere Node.js-Kurse Gefunden Haben, dans Denen Dieser Anfällige Code-Schnipsel Zu Trainingszwecken Verwendet Wurde”, Fügen die Forscher Hinzu. (JM)

Lessenipp: 9 UNVERZICHTBARE OUVERSE SOURCE OUTILES OUTLES DE SÉCURITÉ