„Google“ pristatė naują DI modelį programų spragoms aptikti: teste pasiekė 88,2 proc. rezultatą

Sekite TechNaujienos Google

„Google DeepMind“ spalio 28 d. pristatė „Gemini 4 Carbon“ – naują pažangų dirbtinio intelekto modelį, kurio viena ryškiausių krypčių yra programinės įrangos saugumo tyrimai. Bendrovė praneša, kad modelis SEC-bench Pro teste pasiekė 88,2 proc. rezultatą, o CWE-bench užduotyse – 71 proc. Tačiau tai nereiškia, kad DI dabar suranda 88 procentus visų realiame pasaulyje egzistuojančių spragų.

Oficialiame „Google“ pristatyme skelbiama, kad „Carbon“ išbandytas įvairiose programavimo, ilgų užduočių ir kibernetinio saugumo vertinimo aplinkose. „Google“ pateikia ir 54,8 proc. rezultatą „ExploitGym“ teste, kuriame tikrinamas gebėjimas nustatyti, ar pažeidžiamumas iš tiesų gali būti išnaudotas. Šie matavimai skirti skirtingiems darbo etapams, todėl jų negalima tiesiog sudėti į vieną visuotinio saugumo balą.

Programinės įrangos spragų paieška tradiciškai reikalauja kruopštaus kodo skaitymo, testų, elgsenos analizės ir bandymo suprasti, kokiomis aplinkybėmis sistema gali veikti ne taip, kaip numatyta. DI gali pagreitinti šiuos veiksmus, ypač kai reikia patikrinti didelį kodų kiekį. Tačiau modelio pasiūlymą turi įvertinti specialistas, nes klaidingas signalas gali sukelti beprasmius pakeitimus, o neaptikta problema – likti sistemoje.

Ką iš tikrųjų reiškia 88,2 proc. rezultatas?

SEC-bench Pro naudojamas sudėtingiems saugumo analizės atvejams, o CWE-bench orientuotas į klaidų taisymą. Tai reiškia, kad aptikti galimą spragą ir parengti veikiantį pataisymą yra skirtingi gebėjimai. „Google“ teigia, jog modelis labiau pažengė abiejose srityse, bet tai pačios įmonės pristatomi benchmarkų duomenys ir juos būtina vertinti pagal konkrečias testų taisykles.

Naujausi straipsniai

4 min. skaitymo • prieš 20 minučių

Įsilaužėliai perėmė 25 ugniasienių serverių kontrolę: tarp taikinių – su JAV valdžia susijusi sistema

4 min. skaitymo • prieš 2 val

NATO Latvijoje išbandė dronų aptikimą 5G tinklais: demonstracijoje – beveik 400 bepiločių orlaivių

5 min. skaitymo • prieš 3 val

Elonas Muskas ruošia naują smūgį mobiliojo ryšio rinkai: „SpaceX“ gali perimti 7,38 mln. klientų turintį operatorių

Visi naujausi straipsniai →

Vienas praktinių taikymo scenarijų – pagalba programuotojams prieš išleidžiant naują programos versiją. DI galėtų pasiūlyti vietas, kuriose nesaugi duomenų apdorojimo logika, netinkama prieigos kontrolė ar trūkstamas įvesties tikrinimas kelia riziką. Tačiau galutinė atsakomybė už kodo pataisymą ir jo regresinį testavimą lieka programinę įrangą prižiūrinčiai komandai.

„Google“ taip pat skelbia, kad vidaus saugumo bandymuose „Carbon“ daugiau nei dvigubai pagerino saugaus kodo kūrimo sėkmę palyginti su ankstesniu „Argon“ modeliu. Šis skaičius įdomus, bet priklauso nuo naudojamų užduočių ir vidaus vertinimo metodikos. Dėl to įmonių vadovams nederėtų vien pagal jį spręsti, ar visos DI siūlomos pataisos bus patikimos.

Kibernetinio saugumo DI turi dvejopą paskirtį. Tos pačios žinios, kurios padeda atsakingai atpažinti pažeidžiamumus, teoriškai gali būti naudojamos ir atakoms. Todėl modelių tiekėjai diegia prieigos apribojimus, stebėseną ir naudojimo taisykles, kad jautrūs gebėjimai pasiektų pirmiausia pagrįstus gynybos poreikius turinčias komandas.

Ar DI gali pakeisti kibernetinio saugumo specialistus?

„Carbon“ pristatymas nereiškia, kad kiekvienas „Gemini“ naudotojas jau gali savarankiškai atlikti išsamius svetainių saugumo auditus. Bendrovė teigia, jog pažangiausios kibernetinės galimybės iš pradžių suteikiamos atrinktiems saugumo partneriams. Tai svarbi skirtis tarp mokslinio pranešimo apie modelio gebėjimus ir visiems prieinamo produkto.

Vienas didžiausių iššūkių – automatizuotai pasiūlytą pataisymą patikrinti visoje programos aplinkoje. Jei modelis pašalina vieną klaidą, bet sugadina prisijungimą, mokėjimų procesą arba teisių sistemą, bendras rezultatas gali būti blogesnis. Todėl DI vertė kyla tuomet, kai naudojama versijų kontrolė, testavimo aplinka, žmogaus peržiūra ir galimybė pakeitimus atšaukti.

„TechNaujienos.lt“ jau ne kartą nagrinėjo, kaip DI keičia saugumą ir programavimą. Aprašėme praktinius veiksmus po duomenų nutekėjimo, o naujas „Google“ modelis parodo kitą grandinės pusę – siekį pažeidžiamumus surasti ir pašalinti dar prieš įsilaužėlius.

Įmonėms svarbu vertinti ne vien modelio procentinį rezultatą. Ne mažiau reikšmingi klaidingi teigiami perspėjimai, realus pataisymų veiksmingumas, išlaidos, konfidencialaus kodo apsauga ir pakartojami rezultatai. Todėl geriausia pradėti nuo riboto bandymo savo organizacijos testinėje aplinkoje, o ne iš karto suteikti modeliui nekontroliuojamą prieigą prie produkcijos.

Ypatingo atsargumo reikia dirbant su duomenimis, kuriuose yra prisijungimo raktų, klientų informacijos ar neviešo verslo kodo. Net techniniu požiūriu stiprus modelis neturėtų automatiškai gauti prieigos prie visų organizacijos sistemų. Saugus diegimas prasideda nuo testinės aplinkos, minimalių teisių principo, užklausų registravimo ir aiškios tvarkos, kas patvirtina jo siūlomus pakeitimus.

Taip pat reikia skirti du dalykus: gebėjimą rasti pažeidžiamumą ir gebėjimą teisingai įvertinti, ar jis išnaudojamas konkrečioje organizacijoje. Kartais ta pati programinė klaida vienur yra kritinė, o kitur nepasiekiama iš interneto arba užblokuota kitais saugikliais. Todėl modelio rekomendacijos turi būti derinamos su realia programos konfigūracija ir versijų informacija, o ne priimamos kaip galutinis sprendimas.

„Gemini 4 Carbon“ parodo, kad DI konkurencija pereina nuo pokalbių funkcijų prie konkrečių inžinerinių užduočių. Didelis benchmarko rezultatas gali būti svarbus technologinis signalas, tačiau jo praktinę vertę patvirtins tik skirtingų komandų darbo rezultatai, nepriklausomi bandymai ir realiai sumažėjęs saugumo spragų skaičius.