Otonom yapay zeka ajanları gerçek güvenlik çalışmaları yapmaya başladı. Dil modeli aracıları, yazılımı kusurlara karşı araştırır, sızma testleri gerçekleştirir ve bir zamanlar bir insan operatöre ihtiyaç duyan saldırı adımlarını birbirine zincirler. Güvenlikle ilgili araştırmalar, uzman kıtlığı ve elle tasarlanmış deneyler etrafında inşa edilerek daha yavaş ve daha manuel olarak sürdürüldü.
Çin Bilimler Akademisi'ndeki bir ekip bu açığı kapatmak istiyor. Yakın zamanda yayınlanan bir makalede Siber Güvenlik Yapay Zeka Bilimcisi olarak adlandırdıkları kişiyi tanımlıyorlar. Bir sorudan deneysel tasarıma, araç oluşturmaya, kontrollü uygulamaya, değerlendirmeye ve kendi başına yazılı bir sonuca geçen bir araştırma sistemini tanımlarlar.
Yazarlar, uygulanabilir bir gerçekleştirme olarak sorun çerçeveleme, tehdit modelleme, araç oluşturma ve raporlama için role özel aracılar içeren modüler, çok aracılı bir sistem olan Hephaestus'u sunuyor. Adı, hem mızrağı hem de kalkanı döven Homerik demirciden geliyor; bu, tek bir tasarım altında saldırı ve savunma çalışmaları üretmeyi amaçlayan bir sistemi işaret ediyor.
Düz alan adı transferinin sınırları
Önemli Gelişmeler
Otomatik araştırma sistemleri zaten bir şeydir. Yapay Zeka Bilimcisi ve onun takibi, makine öğrenimi alt alanlarında fikirden taslağa kadar tüm döngüyü yürütebilir ve Co-Scientist ve Robin gibi araçlar biyoloji ve biyotıpta benzer bir şeyi başarabilir.
Nasıl Önlem Alınmalı?
Yazarlar, siber güvenliğin hepsinin dayandığı varsayımları yıktığını ileri sürüyor. Çalışmanın nesnesi, çalışılmaya uyum sağlar. Model platformları, korkuluklar ve alet erişimi, tek bir araştırma döngüsünün yürütebileceğinden daha hızlı sürüklenir. Ve bir bulguya inanıp inanmadığınız, yöntemin parçası olan dijital ikizlere, siber aralıklara ve kanıt zincirlerine bağlıdır.
Dört tür sınırlanma başarısızlığı
Sonuç ve Değerlendirme
Yazarlar tüm bunları dört sıfırlı çerçeve olarak adlandırdıkları bir şeye bağlıyor ve bu da sistemin endişelenmesi gereken dört şeye geliyor: risk, güven, olay ve enerji.
Risk, yazılımda gizlenen gizli kusurlarla ilgilidir. Güven, kalibre edilmiş destekle ilgilidir, böylece bir insan operatör direksiyonu elinde tutar. Olay, operasyonel hatalarla ve bunları yakalamak için ihtiyaç duyduğunuz test ortamlarıyla ilgilidir. Enerji uzun bir oyundur, yıllar içinde ortaya çıkan organizasyonel ve etik sonuçlardır. Her biri sistemin incelemesi ve küçültmesi gereken bir tür başarısızlığın adını veriyor.
Gizli kusurlar ve sınır modelleri
Son zamanlardaki yetenek sıçramaları risk ekseninin arkasında yer alıyor. Anthropic'in Project Glasswing kapsamında yayınlanan Claude Mythos Önizlemesi genel erişimden geri tutuldu çünkü saldırgan siber yeteneği, incelenmiş bir ortak programı gerektirecek kadar güçlüydü ve raporlama, yaygın olarak kullanılan yazılımlarda bazı uzun ömürlü kusurlar da dahil olmak üzere büyük ölçekli kusur keşfini bu modele bağladı. Makalenin bahsettiği bir kıyaslama olan CyberGym, aracıları geniş bir dizi açık kaynak projesinden elde edilen binden fazla gerçek dünya güvenlik açığına karşı test ediyor; sınır modelleri, tek deneme başarısını yüzde onlarca olarak bildiriyor ve kendi başlarına yeni sıfır günler ortaya çıkarıyor.
Detaylar ve Etkileri
Terminallerden ajan lejyonlarına
Makalenin en canlı fikri, yazarların dayanıklı ajan lejyonları olarak adlandırdıkları şeydir. Günümüzde çoğu savunma birkaç sabit varsayıma dayanmaktadır: çevre korunur, her takım kendi şeridine sahiptir ve onarımlar insan hızında gerçekleşir. Savaşın her iki tarafı da özerk ajanlara yöneldiğinde ve saldırı yüzeyi herkesin yamaları itebileceğinden daha hızlı değiştiğinde bu varsayımlar sarsılmaya başlar.
Sistem Güvenliği
Böylece yazarlar modeli tersine çeviriyorlar. Ağ kenarlarına, izleme katmanlarına, koordinasyon kanallarına ve kurtarma işlerine dağılmış büyük, kasıtlı olarak yedekli bir savunma ajanları kalabalığını hayal edin. Her biri bir "olay ve savunma kapsülü" taşıyor; bu paket, bir güvenlik olayı kategorisini, bu olayların üstesinden gelmeye yönelik rutinlere bağlayan düzenli bir paket. Bu anlatımda eski terminal güvenliği fikri parçalanıyor ve ajan güvenliğine dönüşüyor. İş, tek bir uç noktanın korunması olmaktan çıkıyor ve kolektif davranışları korumayı sağlayan tüm bir aracı popülasyonunun yönetilmesiyle ilgili olmaya başlıyor.
İşin zaman içinde ölçülmesi
Ortak yazarlardan Lidong Zhai, böyle bir sistemin nasıl değerlendirilmesi gerektiğine değindi. Uzun vadeli kıyaslamayı, hedefi sabit tutan ve zaman içinde model yığınını, araçları, korkulukları ve tehdit ortamını bozan uzun vadeli bir protokol olarak ele alıyor.
Tanımladığı çıktı, araştırma verimini, kanıt kalitesini, kalibrasyon yükünü, model ve araç değişimine karşı dayanıklılığı, yönetişim uyumluluğunu ve sonuçları ele almayı raporlayan bir profil matrisidir. Hangi olayların en çok önemli olduğuna ağırlık veriyor. "Kıyaslama sonuç ağırlıklı olmalı: yüksek yayılma ve yüksek kayıplı olaylar birlikte değerlendirilmelidir Zhai, Help Net Security'ye verdiği demeçte, "Rahatsız edici olayların ötesinde bir şey yok, çünkü önceliklendirme ölçülen bilimsel yeteneğin bir parçası" dedi.
Çift kullanımı kontrol altında tutmak
Zhai, korumayı mimarinin bir parçası olarak tanımladı ve dört düzeyde kontrol sağladı: yetenek, rol, ortam ve yapı. Saldırgan keşif, savunma analizi, değerlendirme ve sürüm kararlarının her biri ayrı yetkilendirme yollarını izler ve hassas çalışmalar izole edilmiş dijital ikizler ve siber aralıklar içinde kalır. Kendisi, asıl sorunun "bunu kimin, hangi amaçla, hangi ortamda, hangi yetki altında ve hangi serbest bırakma sınırıyla başlattığı" olduğunu söyledi.
Teknik Analiz
Makale yerleşik bir sistemin önünde duruyor. Bu, aralarında heterojen savunma hedefleri ve bir yeteneğin saldırı ve savunma amaçlı kullanımlarını kod düzeyinde ayırmanın zorluğunun da bulunduğu açık zorluklara sahip bir çerçevedir. Zhai'ye göre başarının ölçüsü hızın ötesindedir. "Bir Siber Güvenlik Yapay Zeka Bilimcisi, sonuçta yalnızca araştırmayı hızlandırıp hızlandırmadığına göre değil, aynı zamanda stratejik soğukkanlılığı, daha keskin önceliklendirmeyi ve daha dayanıklı savunma tasarımını geliştirip geliştirmediğine göre değerlendirilmelidir" dedi.
Kılavuz: Otomatik sızma testinin tek başına göremediği şeyler
