Agentic Vulnerability Reasoning on Windows COM Binaries
Dieser Beitrag stellt SLYP vor, eine End-to-End-Agenten-Pipeline, die autonom Race-Condition-Sicherheitslücken in Windows-COM-Binärdateien entdeckt und verifizierte Proof-of-Concept-Codes generiert, wobei sie erfolgreich 28 bisher unbekannte Sicherheitslücken in Produktionsdiensten identifiziert und 140.000 US-Dollar an Prämien erzielt hat, während sie bestehende statische Analysetools und Codierungsagenten deutlich übertrifft.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich einen massiven, hochgesicherten Bankschließfachraum vor (das Windows-Betriebssystem), in dem die sensibelsten Vorgänge von einem Team elitärer, übermenschlich starker Wachen (den COM-Diensten) gehandhabt werden. Diese Wachen besitzen die Hauptschlüssel für das gesamte Gebäude. Allerdings gibt es einen Haken: Hunderte reguläre Mitarbeiter (authentifizierte Benutzer) dürfen an die Schalter der Wachen herantreten und sie bitten, Aufgaben auszuführen.
Das Problem besteht darin, dass diese Wachen manchmal verwirrt werden, wenn zwei Mitarbeiter versuchen, exakt gleichzeitig mit ihnen zu sprechen. Wenn die Wachen keine strikte „einer-nach-dem-anderen"-Regel haben, könnten sie einen Schlüssel fallen lassen, eine Datei löschen, die sie gerade halten, oder versehentlich einen Hauptschlüssel an die falsche Person übergeben. In der Computertechnik nennt man diese Situationen Race Conditions (Wettlaufbedingungen), und sie ermöglichen es einem regulären Benutzer, die Kräfte der „Superwache" zu stehlen – ein Prozess, der als Privilegienausweitung bekannt ist.
Das Problem: Den Fehler finden
Seit Jahren versuchen Sicherheitsexperten, diese Fehler mit zwei Hauptmethoden zu finden:
- Der „Fuzzer" (Der Hammer): Dies ist vergleichbar damit, Tausende von zufälligen Bällen gegen die Tür des Schließfachs zu werfen, um zu sehen, ob eine sie aufbricht. Er ist gut darin, große Löcher zu finden, aber schrecklich darin, die winzigen, spezifischen Timing-Fehler zu entdecken, bei denen zwei Personen exakt im selben Millisekundenintervall sprechen.
- Der „Statische Analyzer" (Der Kartenleser): Dieses Werkzeug liest die Baupläne des Schließfachs, um potenzielle Probleme zu finden. Doch da die Baupläne für diese Windows-Dienste oft auf Servietten gekritzelt sind (kompilierter Code ohne klare Beschriftungen), gerät der Kartenleser in Verwirrung, übersieht echte Gefahren und schreit „Gefahr!", wenn keine vorhanden ist (falsche Alarme).
Die Lösung: Slyp (Der Detektiv-Agent)
Die Autoren dieses Papers haben ein neues System namens Slyp entwickelt. Betrachten Sie Slyp nicht als Hammer oder Kartenleser, sondern als einen superintelligenten Detektiv-Agenten, der mit einem speziellen Werkzeugkasten ausgestattet ist.
Slyp verwendet ein „Gehirn" (ein Large Language Model), das sehr gut darin ist, unordentlichen Code zu lesen und zu verstehen, was er bedeutet, selbst wenn die Beschriftungen fehlen. Doch ein Gehirn allein reicht nicht aus; es benötigt Hände, um die Beweise zu berühren.
Slyps drei Spezialwerkzeuge:
- Der Binary Explorer (Die Taschenlampe): Dieses Werkzeug wirft Licht in den dunklen, unordentlichen Code, übersetzt das Kauderwelsch in lesbare Sätze und ermittelt, welche „virtuellen" Türen die Wachen nutzen, um Räume zu betreten.
- Der COM Inspector (Der Ausweis-Scanner): Dieses Werkzeug prüft die offizielle Registrierung, um genau zu sehen, wie die Wachen angerufen werden, wie ihre Namen lauten und welche Berechtigungen sie haben. Es ist, als hätte man die exakte Telefonnummer und den geheimen Handschlagcode für jede Wache.
- Der Dynamic Debugger (Der Crashtest-Dummy): Dies ist das wichtigste Werkzeug. Anstatt nur zu raten, schreibt Slyp ein kleines Testprogramm, führt es gegen die echte Wache aus und beobachtet, was passiert. Wenn die Wache strauchelt und stürzt (Absturz), fängt Slyp den Sturz auf, protokolliert genau, wie er geschah, und verfasst einen Bericht.
Funktionsweise: Die Schleife des Detektivs
Slyp rät nicht nur einmal. Es arbeitet in einer Schleife:
- Denken: Das Detektiv-Gehirn betrachtet den Code und sagt: „Ich denke, wenn zwei Personen gleichzeitig nach einer Datei fragen, könnte die Wache sie fallen lassen."
- Handeln: Es nutzt die Werkzeuge, um den Code zu prüfen, den spezifischen „Fall"-Punkt zu finden und ein Testskript zu schreiben, um dies zu provozieren.
- Beobachten: Es führt den Test aus. Ist die Wache gestürzt?
- Nein? Der Detektiv sagt: „Okay, mein Timing war falsch. Ich versuche es erneut mit einem leicht abgeänderten Skript."
- Ja? Der Detektiv sagt: „Hab dich!" und verfasst einen formellen Bericht mit Beweisen.
Die Ergebnisse: Eine rekordbrechende Jagd
Das Paper testete Slyp gegen die besten bestehenden Werkzeuge und menschliche Experten:
- Der Benchmark-Test: Auf einem Testset von 20 bekannten Problemstellen fand Slyp die Probleme mit 97,3 % Genauigkeit. Der beste „Kartenleser" (statischer Analyzer) erreichte nur etwa 30 %. Der beste „Hammer" (Fuzzer) und Standard-Coding-Bots steckten fest oder verpassten die meisten davon.
- Die Realwelt-Jagd: Die Autoren setzten Slyp auf echten, live laufenden Windows-Diensten ein. Es fand 28 brandneue, noch nie gesehene Sicherheitslücken (Zero-Days).
- Das Sicherheitsteam von Microsoft bestätigte alle 28.
- Sie vergaben 16 offizielle CVEs (Sicherheitswarnnummern).
- Die Autoren erhielten 140.000 US-Dollar an Prämien für das Finden dieser Löcher.
Warum dies wichtig ist
Das Paper behauptet, dass Slyp das erste System ist, das allein – ohne menschliche Hilfe beim Schreiben des Testcodes – von „Betrachtung unordentlichen Codes" zu „Beweis des Vorhandenseins eines Bugs mit einem funktionierenden Absturz" gelangen kann.
Es ist, als hätte man einen Detektiv, der nicht nur ein loses Dielenbrett in einem dunklen Raum erkennt, sondern auch darauf springt, beweist, dass es bricht, und Ihnen das gebrochene Stück als Beweis aushändigt. Dies macht das Aufspüren dieser kniffligen, zeitbasierten Sicherheitslücken viel schneller und zuverlässiger als je zuvor.
Kurz gesagt: Slyp ist ein KI-Detektiv mit einem speziellen Werkzeugkasten, der versteckte Timing-Fallen in Windows-Software finden, ihre Gefährlichkeit durch Auslösen eines Absturzes beweisen und sie den Behörden melden kann, alles ohne Zugriff auf den ursprünglichen Quellcode.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.