Google Project ZeroがDeepMindと協力して開発したAIモデルであるBig Sleepは、SQLiteデータベースのメモリセキュリティの脆弱性を成功裏に発見して修正しました。 AIが実際のソフトウェアで既知の脆弱性を発見したのはこれが初めてであり、ソフトウェアセキュリティの分野でAIで大きなブレークスルーをマークしています。 SQLiteコードベースを分析することにより、Big Sleepは、従来のファジングテストで検出されなかったスタックバッファーアンダーフローの脆弱性を発見し、開発チームが時間内に修正するのを助け、潜在的なセキュリティリスクを回避しました。この成果は、ソフトウェアセキュリティの検出を支援するAIの大きな可能性を実証し、将来のソフトウェアセキュリティ調査に新しい方向性を提供します。
Googleは最近、最新のAIモデル「Big Sleep」がSQLiteデータベースでメモリセキュリティの脆弱性を首尾よく発見したことを発表しました。この脆弱性は、悪用可能なスタックバッファーアンダーフローの問題であり、コードを公式にリリースする前に修正することができます。 Big Sleepは、Google Project ZeroとDeepMindのコラボレーションの結果であり、Project Earty Project Naptimeへのアップグレードと見なされています。
SQLiteは、オープンソースのデータベースエンジンとして、攻撃者に悪意のある構築されたデータベースまたはSQLインジェクションを使用する可能性があり、SQLiteの実行がクラッシュしたり、任意のコード実行を実装したりします。具体的には、この問題をキャプチャするためにコードに誤って使用される魔法の値-1に起因します。
Googleは、この脆弱性を活用するのは容易ではないと指摘しましたが、さらに重要なことは、AIが実際のソフトウェアで既知の脆弱性を発見したのはこれが初めてです。 Googleによると、従来のファジング方法はこの問題を見つけることができませんが、大きな睡眠はありません。プロジェクトのソースコードを分析した一連のコミットの後、Big Sleepは10月上旬に脆弱性をロックし、同じ日以内に修正されました。
Googleは、11月1日の発表で、この研究には防衛の可能性があると述べました。ファジングはすでに重要な結果を達成していますが、Googleチームは、開発者がファジングを通して見つけるのが難しい脆弱性を発見するのに役立つために新しいアプローチが必要であると考えており、この点でAIの能力に対する期待に満ちています。
以前は、シアトルに拠点を置くProtect AIは、Vulnhuntrというオープンソースツールも発売し、AnthropicのClaude AIモデルを悪用してPythonコードベースのゼロデイの脆弱性を発見できると主張していました。しかし、Googleチームは、2つのツールにはさまざまな用途があり、大きな睡眠がメモリセキュリティに関連する脆弱性を発見したことを強調しました。
現在、Big Sleepはまだ研究段階にあり、主に既知の脆弱性を持つ小さなプログラムでテストされています。彼が実際の環境で実験を行ったのはこれが初めてです。テストのために、研究チームはSQLiteコードベースのいくつかの最新の提出物を収集し、分析後にモデルの迅速な内容を調整し、最終的に脆弱性を見つけました。
この成果にもかかわらず、Googleチームは、これらの結果がまだ非常に実験的な段階にあり、現在の目標固有のファズテストが脆弱性を見つけるのに等しく効果的である可能性があることをすべての人に思い出させます。
キーポイント：
** GoogleのAIモデルBig Sleepは、初めてSQLiteメモリセキュリティの脆弱性を発見しました。 **
**脆弱性は公式リリースの前に修正され、脆弱性発見におけるAIの新たな進捗状況をマークしました。 **
**結果にもかかわらず、Googleは現在の結果がまだ実験的であり、ファジングが依然として有効であることを強調しました。 **
要するに、Big Sleepの成功したケースは、ソフトウェアセキュリティの分野におけるAIの可能性を示していますが、AIツールはまだ開発段階にあり、より多くの研究を行うために従来の方法と組み合わせる必要があることを思い出させますその信頼性と効率を改善するために将来的に必要です。