Code-Augur: Agentic Vulnerability Detection via Specification Inference
Code-Augur एक नवीन एजेंटिक भेद्यता पहचान ढांचा (framework) है जो कोड से सुरक्षा विशिष्टताओं (security specifications) को स्पष्ट रूप से अनुमानित करके और रनटाइम फाल्सिफिकेशन (runtime falsification) के माध्यम से उन्हें निरंतर परिष्कृत करके स्वायत्त LLMs की विश्वसनीयता और प्रभावशीलता को बढ़ाता है, जिससे उन महत्वपूर्ण कमजोरियों का पता चलता है जिन्हें अन्य विधियाँ छोड़ देती हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक शानदार लेकिन थोड़े अति-आत्मविश्वासी जासूस को एक विशाल, जटिल कारखाने का सुरक्षा खतरों के लिए निरीक्षण करने के लिए काम पर रख रहे हैं। यह जासूस एक AI एजेंट है।
अतीत में, यदि यह AI जासूस कहता, "यह मशीन सुरक्षित है," तो आपको उसकी बात माननी पड़ती थी। आपको यह नहीं पता चलता था कि उसने ऐसा क्यों सोचा या उसने क्या धारणाएं बनाईं। यदि उसने स्टील के बजाय प्लास्टिक से बने हिस्से की गलत धारणा लेकर किसी छिपे हुए खतरे को मिस कर दिया होता, तो आपको तब तक पता नहीं चलता जब तक कि मशीन फट नहीं जाती।
CODE-AUGUR एक नया सिस्टम है जिसे इस समस्या को ठीक करने के लिए डिज़ाइन किया गया है। यह AI जासूस के काम करने के तरीके को बदल देता है, उसे अपनी धारणाएं लिखने और फिर तुरंत उन्हें गलत साबित करने की कोशिश करने के लिए मजबूर करता है।
यह कैसे काम करता है, इसे सरल चरणों में यहाँ दिया गया है:
1. जासूस एक "सुरक्षा वादा" लिखता है
सिर्फ कोड को देखकर "सुरक्षित" या "असुरक्षित" कहने के बजाय, अब AI जासूस को एक विशिष्ट नियम, या एक सिक्योरिटी स्पेसिफिकेशन (Security Specification) लिखने की आवश्यकता होती है, जब वह तय करता है कि कोड का कोई हिस्सा सुरक्षित है।
- उपमा: कल्पना कीजिए कि एक जासूस एक पुल को देखता है और कहता है, "यह पुल सुरक्षित है।" पुराने सिस्टम के तहत, यही कहानी का अंत था। CODE-AUGUR के तहत, जासूस को उस पुल पर एक स्टिकी नोट लिखना होगा जो कहता है: "मैं यह मान रहा हूँ कि यह पुल 10 टन भार सह सकता है।"
- परिणाम: यह "स्टिकी नोट" वास्तव में कोड की एक पंक्ति (एक assertion) है जिसे सॉफ्टवेयर के भीतर ही समाहित किया गया है। यह जासूस की अदृश्य विचार प्रक्रिया को एक दृश्य, परीक्षण योग्य नियम में बदल देता है।
2. "डेविल्स एडवोकेट" (Devil's Advocate) इसे तोड़ने की कोशिश करता है
एक बार जब जासूस नियम लिख देता है, तो एक दूसरा टूल जिसे फज़र (Fuzzer) कहा जाता है (एक अराजक, निरंतर तनाव पैदा करने वाले टेस्टर की तरह), उसे काम पर रखा जाता है। इसका एकमात्र काम जासूस के नियम को तोड़ने की कोशिश करना है।
- उपमा: फज़र एक विध्वंस विशेषज्ञ (demolition expert) की तरह है जो यह देखने के लिए उस पुल पर 15-टन का ट्रक चलाने की कोशिश करता है कि क्या वह ढह जाता है।
- दो परिणाम:
- परिणाम A (पुल ढह जाता है): फज़र नियम को तोड़ने का तरीका ढूंढ लेता है। इसका मतलब है कि जासूस गलत था। पुल सुरक्षित नहीं है, और एक वास्तविक भेद्यता (vulnerability) मिल गई है।
- परिणाम B (नियम गलत था): फज़र नियम को तोड़ देता है, लेकिन पुल वास्तव में खतरनाक तरीके से नहीं ढहता है। इसका मतलब है कि जासूस का "स्टिकी नोट" बहुत सख्त था या उसने स्थिति को गलत समझा था। जासूस फिर अपने नियम को अधिक सटीक बनाने के लिए उसे अपडेट करता है।
3. सुधार का चक्र
यह प्रक्रिया एक निरंतर चक्र बनाती है: तर्क → नियम लिखना → नियम को तोड़ने की कोशिश करना → नियम को ठीक करना या बग ढूंढना।
ऐसा करके, यह सिस्टम केवल बग ही नहीं ढूंढता; यह AI को इस बात के साथ संरेखित (align) करने के लिए मजबूर करता है कि कोड को वास्तव में कैसे काम करना चाहिए और वह वास्तव में कैसे व्यवहार करता है। यदि AI कोई गलत धारणा बनाता है, तो फज़र उसे तुरंत पकड़ लेता है।
उन्होंने क्या पाया?
शोधकर्ताओं ने इस सिस्टम (जिसे CODE-AUGUR कहा जाता है) का वास्तविक दुनिया के सॉफ्टवेयर प्रोजेक्ट्स पर परीक्षण किया। यहाँ उनके द्वारा रिपोर्ट किए गए मुख्य परिणाम दिए गए हैं:
- प्रतिद्वंद्वियों से बेहतर: इसने अन्य शीर्ष स्तर के AI सुरक्षा उपकरणों की तुलना में काफी अधिक बग (34% से 370% अधिक) खोजे।
- नई खोजें: इसने लोकप्रिय ओपन-सोर्स सॉफ्टवेयर में 22 बिल्कुल नए भेद्यताएं (vulnerabilities) खोजीं जिनके बारे में पहले कोई नहीं जानता था।
- वास्तविक दुनिया का प्रभाव: डेवलपर्स पहले से ही इनमें से 16 बग्स को ठीक कर चुके हैं या उनकी पुष्टि कर चुके हैं। इनमें से कुछ खोजों ने "बग बाउंटी" पुरस्कार (सुरक्षा खामियों को खोजने के लिए नकद पुरस्कार) भी अर्जित किए।
- दीर्घकालिक मूल्य: जो "नियम" (invariants) AI लिखता है, वे टिकाऊ होते हैं। ऑडिट पूरा होने के बाद भी वे कोड में बने रहते हैं। एक केस स्टडी में, जिसमें एक GPS सॉफ्टवेयर प्रोजेक्ट शामिल था, इन नियमों ने डेवलपर्स को चार महीनों के भीतर संबंधित बग्स के पूरे परिवार को ठीक करने में मदद की, जिससे वही गलती दोबारा होने से रुक गई।
यह क्यों महत्वपूर्ण है
यह पेपर तर्क देता है कि केवल एक ऐसे AI का होना पर्याप्त नहीं है जो बग ढूंढ सके। हमें यह जानने की भी आवश्यकता है कि वह क्यों सोचता है कि कुछ सुरक्षित है। CODE-AUGUR इस AI की सोच को पारदर्शी, परीक्षण योग्य और आत्म-सुधार करने वाला बनाता है। यह एक "ब्लैक बॉक्स" AI को एक ऐसे साथी में बदल देता है जो अपना तर्क लिखता है, जिसका परीक्षण किया जाता है, और जो अपनी गलतियों से सीखता है, जिससे सॉफ्टवेयर सुरक्षा बहुत अधिक विश्वसनीय हो जाती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।