Против лома ИИ приемы
Против лома ИИ приемы.
Специалистам, глубоко разбирающимся в уязвимостях безопасности вроде переполнений буфера и эксплойтов, стоит ознакомиться с детальным анализом от Anthropic по их модели Mythos. За пару месяцев она выявила тысячи zero-day багов в open-source проектах, хотя доступ к модели пока ограничен для широкой аудитории.
Пример уязвимости в OpenBSD
В отчете разбирают реальные случаи, включая 27-летнюю zero-day в OpenBSD — баг в tcp-input.c, отвечающем за обработку TCP-пакетов. Этот файл проверяли десятки экспертов и инструментов анализа на протяжении десятилетий, но ошибка осталась незамеченной: она сочетает два несвязанных дефекта, приводящих к отрицательному номеру пакета, 32-битному переполнению и попытке записи по NULL-указателю в связном списке SACK-дырок, что крашит любой интернет-подключенный сервер.
Масштабируемость ручного аудита
Файл tcp-input.c насчитывает свыше 4000 строк и решает множество задач помимо SACK. Если бы опытному разработчику поручили ручной аудит именно на SACK-уязвимости с фокусом на edge-кейсы, отрицательные значения, оверфлоу и буферы, баг мог бы всплыть за пару дней — но на это нет ни бюджетов, ни мотивации для скрупулезного разбора узких кусков кода вроде TCP-опций в сетевом стеке ядра.
Преимущества ИИ-агентов
Просто запустить умный ИИ-агент, чтобы он разделил tcp-input.c на 10–20 модулей, включая SACK, и поручил каждому специализированному агенту поиск багов — и один из них, как в случае с Mythos, найдет проблему. Остальные потратят ресурсы впустую, но ложные срабатывания отфильтрует судья-агент, без лишних затрат.
Один квалифицированный программист проанализирует файл, но не миллион файлов одновременно. Зато один эффективный ИИ-агент масштабируется до миллиона, радикально меняя подход к аудиту ПО — и это пока слабо осознают в индустрии.
Хотя в этой новости умалчивается сколько было ложных срабатываний, но с ними ты свою корову не продашь.
#AI #Новости #Нейросети #Моё
@DevsRoot
В MAX