Google DeepMind представляет CodeMender: новый ИИ-агент для автоматического исправления критических уязвимостей программного обеспечения
В современном мире, где количество программного обеспечения и его сложность растут с каждым днем, безопасность становится одной из самых важных задач для разработчиков, специалистов по безопасности и IT-менеджеров. Как же облегчить эту задачу? Ответом на этот вопрос стал CodeMender — новый ИИ-агент от Google DeepMind, который использует мощные алгоритмы Gemini Deep Think для автоматического исправления уязвимостей в программном обеспечении. Давайте подробнее рассмотрим его возможности и практическое применение.
Что такое CodeMender?
CodeMender — это ИИ-агент, предназначенный для автоматического создания, проверки и внедрения патчей для критических уязвимостей. За всего лишь шесть месяцев внутреннего развертывания, CodeMender уже внес 72 исправления безопасности в проекты с открытым исходным кодом, управляя кодовыми базами объемом до 4,5 миллионов строк.
Этот инструмент работает в реактивном и проактивном режимах. Он не только исправляет известные уязвимости, но и переписывает код, чтобы устранить целые классы уязвимостей. Это означает, что вы получаете не только исправление конкретной проблемы, но и более защищенное программное обеспечение в целом.
Архитектура и функциональность CodeMender
Архитектура CodeMender сочетает в себе продвинутые инструменты анализа программ, такие как:
- Статический и динамический анализ.
- Дифференциальное тестирование.
- Фаззинг.
- Решатели на основе теории удовлетворимости (SMT).
Многоагентный дизайн включает специализированные «критические» рецензенты, которые оценивают семантические различия и инициируют самокоррекцию при обнаружении регрессий. Это позволяет системе точно локализовать коренные причины, генерировать кандидаты на патчи и проводить автоматизированное регрессионное тестирование перед тем, как патчи будут предложены для проверки человеком.
Процесс валидации и человеческий контроль
DeepMind подчеркивает строгий автоматический процесс валидации перед любым человеческим вмешательством. Система проверяет:
- Исправление коренных причин.
- Функциональную корректность.
- Отсутствие регрессий.
- Соответствие стилю кода.
Только высоконадежные патчи предлагаются для проверки поддержкой, используя планировочное мышление Gemini Deep Think на основе трассировок отладчика, результатов поиска кода и тестовых результатов.
Проактивные методы повышения безопасности
Кроме исправления уязвимостей, CodeMender реализует трансформации для повышения безопасности на масштабах. Например, он автоматизирует вставку аннотаций -fbounds-safety в libwebp для обеспечения проверок границ на уровне компилятора. Этот проактивный подход мог бы предотвратить переполнение кучи в libwebp, которое использовалось в цепочке уязвимостей нулевого клика на iOS.
Кейс-стадии
DeepMind выделяет два значительных исправления, выполненных с помощью CodeMender:
- Сбой, первоначально отмеченный как переполнение кучи, был связан с неправильным управлением стеком XML.
- Долговечная ошибка, требующая корректировок в пользовательском генераторе кода на C.
В обоих случаях сгенерированные патчи успешно прошли автоматический анализ и проверку функциональной эквивалентности перед тем, как были предложены.
Контекст развертывания и связанные инициативы
CodeMender занимает важное место в более широкой стратегии защиты, которая включает новую программу вознаграждения за уязвимости на основе ИИ и Secure AI Framework 2.0 для безопасности агентов. Мотивация этой инициативы заключается в том, чтобы обеспечить, чтобы возможности автоматического обнаружения уязвимостей, основанные на ИИ, развивались в темпе, соответствующем автоматизированному устранению.
Заключение
CodeMender реализует Gemini Deep Think вместе с инструментами анализа программ для локализации коренных причин и предложения патчей, которые проходят автоматизированную валидацию перед человеческим пересмотром. С 72 исправлениями безопасности, внедренными в проекты с открытым исходным кодом за шесть месяцев, он демонстрирует значительный потенциал для повышения безопасности программного обеспечения.
Часто задаваемые вопросы (FAQ)
1. Как работает CodeMender?
CodeMender использует алгоритмы машинного обучения для анализа кода, выявления уязвимостей и автоматического создания патчей.
2. В каких проектах можно использовать CodeMender?
CodeMender подходит для проектов с открытым исходным кодом и коммерческих приложений, требующих высокой безопасности.
3. Как CodeMender обеспечивает качество патчей?
Каждый патч проходит автоматическую валидацию, включая проверку функциональности и отсутствие регрессий.
4. Какие преимущества дает использование CodeMender?
С помощью CodeMender компании могут уменьшить время на исправление уязвимостей и повысить уровень безопасности программного обеспечения.
5. Могу ли я доверять автоматическим патчам от CodeMender?
Да, все патчи проходят строгую проверку и только высоконадежные предложения предлагаются для человеческой проверки.
6. Какие практические советы вы можете дать для работы с CodeMender?
Регулярно обновляйте систему, следите за патчами и используйте возможности проактивного исправления уязвимостей.
