Prima di procedere
OpenAI ha presentato Aardvark, un innovativo agente di Intelligenza Artificiale (IA) progettato per la ricerca di vulnerabilità nel software, basato sulla potenza di GPT-5. Questa soluzione promette di rivoluzionare il modo in cui le aziende affrontano la sicurezza informatica, automatizzando e accelerando il processo di identificazione e correzione delle debolezze nei sistemi.
Ogni anno, decine di migliaia di nuove vulnerabilità vengono scoperte in software aziendali e open source. Gli esperti di sicurezza si trovano di fronte alla sfida ardua di individuare e neutralizzare queste falle prima che possano essere sfruttate da malintenzionati. Aardvark rappresenta un significativo passo avanti nella ricerca sull'IA applicata alla sicurezza, offrendo un agente autonomo in grado di supportare sviluppatori e team di sicurezza nell'individuazione e risoluzione di vulnerabilità su vasta scala.
Aardvark analizza costantemente i repository di codice sorgente per individuare potenziali vulnerabilità, valutare la loro sfruttabilità, determinarne la gravità e suggerire correzioni mirate. Il sistema monitora le modifiche e i commit nei database di codice, identificando le vulnerabilità, valutando come potrebbero essere sfruttate e proponendo soluzioni. A differenza degli approcci tradizionali di analisi del software, come il fuzzing o l'analisi della composizione del software, Aardvark utilizza il ragionamento basato su LLM (Large Language Model) e strumenti avanzati per comprendere il comportamento del codice e individuare le vulnerabilità. In sostanza, Aardvark ricerca gli errori nello stesso modo in cui lo farebbe un ricercatore di sicurezza umano: leggendo e analizzando il codice, creando ed eseguendo test, e utilizzando una varietà di strumenti.
Il processo di identificazione, spiegazione e correzione delle vulnerabilità implementato da Aardvark si articola in diverse fasi:
- Analisi: Aardvark inizia analizzando l'intero repository per creare un modello di minaccia che rifletta la comprensione degli obiettivi di sicurezza e dell'architettura del progetto.
- Scansione dei commit: Aardvark esamina le modifiche a livello di commit nell'intero repository, confrontandole con il modello di minaccia man mano che viene aggiunto nuovo codice. Al primo collegamento a un repository, Aardvark ne esegue la scansione completa per identificare eventuali problemi esistenti. Il sistema fornisce spiegazioni dettagliate delle vulnerabilità rilevate, annotando il codice per facilitarne la revisione da parte di esperti umani.
- Validazione: Dopo aver individuato una potenziale vulnerabilità, Aardvark tenta di sfruttarla in un ambiente isolato per confermarne l'effettiva sfruttabilità. OpenAI sottolinea l'importanza di questo passaggio per garantire risultati accurati, di alta qualità e con un basso tasso di falsi positivi.
- Installazione delle correzioni: Aardvark si integra con OpenAI Codex per la correzione automatica delle vulnerabilità individuate. Ad ogni vulnerabilità rilevata, il sistema allega una patch generata da Codex e analizzata da Aardvark, pronta per la revisione umana e l'applicazione con un semplice clic.
Durante i test, OpenAI ha scoperto che Aardvark è in grado di identificare non solo vulnerabilità di sicurezza, ma anche errori logici, correzioni incomplete e problemi di privacy. Aardvark è stato utilizzato ininterrottamente per diversi mesi su codebase interni di OpenAI e codebase di partner esterni, contribuendo a migliorare la sicurezza del software. In particolare, durante i benchmark su repository "gold", Aardvark ha identificato il 92% delle vulnerabilità note e create artificialmente, dimostrando un'elevata completezza ed efficacia in scenari reali.
Aardvark è stato applicato anche a progetti open source, dove ha scoperto numerose vulnerabilità, dieci delle quali hanno ricevuto identificatori CVE (Common Vulnerabilities and Exposures). OpenAI prevede di offrire scansioni gratuite di repository open source non commerciali, contribuendo così alla sicurezza dell'ecosistema del software open source e della catena di approvvigionamento. Recentemente, l'azienda ha aggiornato la sua politica di divulgazione coordinata delle informazioni, concentrandosi sulla collaborazione e sulla scalabilità dell'impatto, piuttosto che su rigidi termini di divulgazione che potrebbero esercitare pressione sugli sviluppatori.
Attualmente, Aardvark è disponibile in versione beta chiusa per testare e migliorare ulteriormente le sue capacità in ambienti reali. OpenAI invita partner selezionati a unirsi al programma per ottenere un accesso anticipato e collaborare direttamente con il team di OpenAI al fine di migliorare la precisione del rilevamento, i flussi di lavoro di convalida e la qualità della reportistica.
