Site icon Kiber.ba

Novi AI alat za otkrivanje 0-dana u velikom obimu klikom na dugme

Novi AI alat za otkrivanje 0-dana u velikom obimu klikom na dugme-Kiber.ba

Novi AI alat za otkrivanje 0-dana u velikom obimu klikom na dugme-Kiber.ba

Uveden je novi AI alat pod nazivom Vulnhuntr, koji revolucioniše način na koji se ranjivosti otkrivaju u projektima otvorenog koda.

Ovaj inovativni alat koristi moć velikih jezičkih modela (LLM) za pronalaženje i objašnjenje složenih ranjivosti u više koraka, uključujući ranjivosti 0 dana koje se mogu daljinski iskoristiti, sa neviđenom efikasnošću i preciznošću.

Razvijen od strane Protect AI, Vulnhuntr je već napravio značajan napredak u otkrivanju ranjivosti u popularnim projektima sa preko 10.000 GitHub zvijezda.

Vulnhuntr za otkrivanje 0 dana

U samo nekoliko sati rada, otkrio je više od desetak ranjivosti u trajanju od 0 dana, uključujući potpune ranjivosti Remote Code Execution (RCE). Ova otkrića uključuju ranjivosti u projektima kao što su gpt_academic, ComfyUI, FastChat i Ragflow.

Ključ Vulnhuntrovog uspjeha leži u njegovoj sposobnosti da razbije kod na male dijelove kojima se može upravljati umjesto da preopterećuje LLM sa više cijelih datoteka.

Ovaj pristup mu omogućava da izvrši hirurške udare na bazi koda, značajno smanjujući lažne pozitivne i lažno negativne rezultate.

Analizom i ponovnom analizom koda u petlji, Vulnhuntr iscrtava kompletan put od korisničkog unosa do izlaza servera, pružajući detaljne konačne analize, eksploatacije dokaza o konceptu i ocjene pouzdanosti za svaku ranjivost.

Alat se fokusira na specifičan skup visokorizičnih ranjivosti, uključujući LFI, AFO, RCE, XSS, SQLi, SSRF i IDOR.

otkrivene potencijalne ranjivosti

Vulnhuntrove napredne tehnike brzog inženjeringa, uključujući brzi inženjering najboljih praksi, upite zasnovane na XML-u, lanac razmišljanja i unaprijed popunjene odgovore, vode LLM kroz niz logičkih koraka za izradu detaljnih izvještaja o potencijalnim ranjivostima, rekla je zaštita AI .

Ovaj pristup je pokazao izuzetno precizne rezultate u sužavanju vrijednosti koda cijelog projekta na samo nekoliko jednostavnih funkcija na koje bi se lovci na greške trebali fokusirati kada traže ranjivosti.

Iako Vulnhuntr ima ograničenja, kao što je trenutno podrška samo Python-u i fokusiranje isključivo na ranjivosti koje se mogu koristiti na daljinu, njegov potencijal je ogroman.

Sposobnost alata da kreira i logički razumije cijeli pozivni lanac korisničkog unosa čini ga dramatičnim poboljšanjem u odnosu na trenutnu generaciju statičkih analizatora koda.

Budućnost lova na ranjivosti izgleda obećavajuće sa Vulnhuntrom. Kako LLM-ovi nastavljaju da se razvijaju, vjerovatno je da će se kontekstni prozori proširiti na više miliona ili čak beskonačnih tokena, čineći statičko raščlanjivanje koda manje potrebnim.

Međutim, čak i sa beskonačnim kontekstnim prozorima, unos koda lanca poziva od korisničkog ulaza do izlaza servera ručnim raščlanjivanjem koda putem statičke analize uvelike će ograničiti lažne negativne i lažne pozitivne rezultate u traženju ranjivosti.

Za one koji su zainteresovani da testiraju Vulnhuntr, alat je dostupan na https://huntr.com, AI bug bounty programu koji pomaže da se osigura eksplodirajući AI ekosistem otvorenog koda. Korisnici mogu biti plaćeni da koriste Vulnhuntr kako bi osigurali AI ekosistem.

Vulnhuntr predstavlja značajan iskorak u polju otkrivanja ranjivosti. Njegov inovativni pristup i napredne brze inženjerske tehnike čine ga moćnim alatom za pronalaženje i objašnjenje složenih ranjivosti u više koraka.

Kako AI ekosistem nastavlja da raste, alati kao što je Vulnhuntr će igrati ključnu ulogu u njegovom obezbjeđivanju. Ovaj alat se može preuzeti sa GitHub-a .

Ključne karakteristike Vulnhunta:

Kako koristiti Vulnhuntr:

  1. Osnovna upotreba: Pokrenite vulnhuntr.py -r /path/to/target/repoza automatsku analizu datoteka koje analiziraju unos udaljenog korisnika.
  2. Ciljana upotreba: Pokrenite vulnhuntr.py -r /path/to/target/repo -a subfolder/file.pyda analizirate određene datoteke koje analiziraju unos udaljenog korisnika ili izvršavaju funkcionalnost servera.

Izvor: CyberSecurityNews

Exit mobile version