Google ha revelado que su herramienta de fuzzing impulsada por IA, OSS-Fuzz, se ha utilizado para ayudar a identificar 26 vulnerabilidades en varios repositorios de código fuente abierto, incluida una falla de gravedad media en la biblioteca criptográfica OpenSSL.
“Estas vulnerabilidades particulares representan un hito para la búsqueda automatizada de vulnerabilidades: cada una fue encontrada con IA, utilizando objetivos fuzz mejorados y generados por IA”, dijo el equipo de seguridad de código abierto de Google. dicho en una publicación de blog compartida con The Hacker News.
La vulnerabilidad OpenSSL en cuestión es CVE-2024-9143 (Puntuación CVSS: 4,3), un error de escritura en memoria fuera de los límites que puede provocar un fallo de la aplicación o la ejecución remota de código. El problema ha sido dirigido en las versiones OpenSSL 3.3.3, 3.2.4, 3.1.8, 3.0.16, 1.1.1zb y 1.0.2zl.
Google, que añadió la capacidad de aprovechar Large Language Models (LLM) para mejorar la cobertura de fuzzing en OSS-Fuzz en agosto de 2023, dijo que la vulnerabilidad probablemente ha estado presente en el código base durante dos décadas y que “no habría sido detectable con objetivos de fuzz existentes escritos por humanos”.
Además, el gigante tecnológico señaló que el uso de la IA para generar objetivos difusos ha mejorado la cobertura de código en 272 proyectos C/C++, agregando más de 370.000 líneas de código nuevo.
“Una de las razones por las que estos errores podrían permanecer sin descubrirse durante tanto tiempo es que la cobertura de la línea no es garantía de que una función esté libre de errores”, dijo Google. “La cobertura del código como métrica no puede medir todas las rutas y estados posibles del código; diferentes indicadores y configuraciones pueden desencadenar diferentes comportamientos, descubriendo diferentes errores”.
Estos descubrimientos de vulnerabilidades asistidos por IA también son posibles gracias al hecho de que los LLM están demostrando ser expertos en emular el flujo de trabajo difuso de un desarrollador, lo que permite una mayor automatización.
El desarrollo se produce cuando la compañía reveló a principios de este mes que su marco basado en LLM llamado Big Sleep facilitó la detección de una vulnerabilidad de día cero en el motor de base de datos de código abierto SQLite.
Al mismo tiempo, Google ha estado trabajando para hacer la transición de sus propias bases de código a lenguajes seguros para la memoria como Rust, al mismo tiempo que moderniza mecanismos para abordar las vulnerabilidades de seguridad de la memoria espacial, que ocurren cuando es posible que un fragmento de código acceda a la memoria que está fuera de sus límites previstos, dentro de proyectos C++ existentes, incluido Chrome.
Esto incluye migrar a Buffers seguros y habilitando libc ++ endurecidoque agrega verificación de límites a las estructuras de datos estándar de C++ para eliminar una clase importante de errores de seguridad espacial. Además, señaló que los gastos generales incurridos como resultado de la incorporación del cambio son mínimos (es decir, un impacto promedio en el rendimiento del 0,30%).
“El libc++ reforzado, agregado recientemente por contribuyentes de código abierto, introduce un conjunto de controles de seguridad diseñados para detectar vulnerabilidades como accesos fuera de límites en producción”, Google dicho. “Si bien C++ no será completamente seguro para la memoria, estas mejoras reducen el riesgo […]lo que lleva a un software más confiable y seguro”.