CyberForge: Verified Vulnerability Injection at Repository Level for Cybersecurity Agent Training
CyberForge is een framework dat uitvoerbare, repository-niveau beveiligingstrainingdata synthetiseert en dynamisch valideert door kwetsbaarheden in echte C/C++-projecten te injecteren, wat de capaciteiten van cybersecurity-agenten voor het ontdekken en patchen van kwetsbaarheden aanzienlijk verbetert over diverse modelformaten en programmeertalen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je de digitale wereld voor als een enorme, bruisende stad die volledig uit code bestaat. In deze stad zijn softwareprogramma's de gebouwen en zijn de mensen die ze schrijven de architecten. Een lange tijd hadden deze architecten een zware taak: ze moesten elke individuele baksteen, elk raam en elke deur van hun wolkenkrabbers controleren om er zeker van te zijn dat niemand naar binnen kan sluipen om de schat te stelen. Ondertussen hoeven de "slechteriken" (hackers) slechts één klein, loszittend steentje te vinden om binnen te breken. Het is een oneerlijk gevecht.
Om de goeden te helpen, hebben we digitale detectives gebouwd, genaamd "AI-agenten". Dit zijn slimme computerprogramma's die getraind zijn om naar die loszittende steentjes te zoeken. Maar hier is het probleem: om een detective te leren hoe hij een echte inbraak herkent, moet je hem meestal een echte inbraak laten zien. Het probleem is dat echte inbraken (genaamd "kwetsbaarheden" of "bugs") zeldzaam zijn, moeilijk te vinden en vaak geheim worden gehouden totdat ze zijn opgelost. Het is alsof je probeert een brandweerman te leren hoe hij een brand moet blussen door hem alleen foto's te laten zien van branden die tien jaar geleden plaatsvonden, terwijl de bouwvoorschriften van de stad blijven veranderen. We hebben een manier nodig om gloednieuwe, realistische "oefenbranden" te creëren waar de AI van kan leren, zonder daadwerkelijk iets in brand te steken.
Hier komt een nieuw framework genaamd CyberForge om de hoek kijken. Zie CyberForge als een super-slimme, geautomatiseerde "schurkenfabriek" die niet alleen oude misdaden kopieert, maar ter plekke nieuwe uitvindt. De onderzoekers achter CyberForge namen 80 echte softwareprojecten (zoals de blauwdrukken van echte gebouwen) en gebruikten AI om kleine, onzichtbare zwakheden in deze projecten te sluipen. Maar ze stopten daar niet bij. Ze bouwden een rigoureus "veiligheidsinspectie"-systeem om ervoor te zorgen dat deze nieuwe zwakheden echt waren. De inspecteur controleert twee dingen: eerst moet het gebouw nog steeds overeind blijven tijdens al zijn normale tests (wat betekent dat de bug verborgen is en het programma niet direct laat crashen), en tweede moet een specifieke "bewijs van kwetsbaarheid" (een speciale sleutel) de deur kunnen ontgrendelen alleen op het kapotte gebouw, en niet op het veilige gebouw.
Het resultaat is een enorme bibliotheek van 1.034 geverifieerde, realistische beveiligingsvallen. Toen de onderzoekers deze bibliotheek gebruikten om hun AI-detectives te trainen, waren de resultaten indrukwekkend. De AI-agenten werden aanzienlijk beter in het vinden en repareren van deze gaten. Sterker nog, de training was zo effectief dat een kleiner AI-model, na het bestuderen van deze bibliotheek, bijna net zo goed presteerde als een veel groter en duurder "leraar"-model. Nog verrassender was dat deze training de AI hielp om te begrijpen hoe ze gaten in totaal andere soorten software (zoals Python of JavaScript) konden repareren, ook al was de bibliotheek volledig gemaakt van C en C++. Het is alsof het leren herkennen van een barst in een bakstenen muur de detective plotseling hielp om een barst in een glazen raam te herkennen.
CyberForge bewijst dat we niet hoeven te wachten tot echte hackers fouten vinden om onze verdedigers te trainen. Door synthetisch deze beveiligingsuitdagingen te creëren en rigoureus te valideren, kunnen we een schaalbare, eindeloze aanvoer van trainingsdata creëren. Dit verschuift de balans terug naar de verdedigers, waardoor zij de middelen krijgen om sterkere, veiligere software te bouwen voordat de slechteriken überhaupt opdagen. De paper suggereert dat deze methode van het "injecteren" en "valideren" van zwakheden een krachtige nieuwe manier is om cybersecurity-training op te schalen, waarbij de AI wordt veranderd van een student die alleen oude tekstboeken ziet in een detective die heeft geoefend op duizenden realistische scenario's.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.