首页时事民生政务教育文化科技财富体娱健康情感

旅行百科职场楼市企业乐活学术汽车时尚创业美食幽默美体文摘

首次利用大模型发现内存安全零日漏洞 (附大模型挖洞经验)

科技 2024-11-05 17:45 北京

关注我们

带你读懂网络安全

图：Daniel Falcao via Unsplash

谷歌Project Zero与 DeepMind合作，使用大模型成功发现了现实项目中的零日漏洞，并发现当前的大模型擅长发现已知漏洞变种，而非开放式的未知漏洞挖掘。

前情回顾·大模型网络攻击能力动态

安全内参11月5日消息，谷歌研究人员日前公布成果，他们首次利用大模型发现了软件漏洞。

谷歌在一篇博客文章中表示，这次发现是首例通过AI工具识别出此前未知的可利用内存安全漏洞的公开案例，并且该漏洞存在于广泛使用的现实世界软件中。

该漏洞是在开源数据库引擎SQLite中发现的。谷歌研究人员在10月初向SQLite的开发团队报告了这一漏洞，开发团队在同一天就修复了问题。这一漏洞是在软件正式发布前被发现的，因此没有对SQLite用户造成影响。

谷歌称，这项技术进展体现了“AI在网络防御领域的巨大潜力”。

谷歌研究人员指出：“我们认为，这项工作展示了极大的防御潜力。能够在软件发布前发现漏洞，意味着攻击者没有机会利用这些漏洞：在攻击者尝试之前，漏洞已经得到了修复。”

这一研究是一个名为Big Sleep的项目的一部分，该项目是谷歌Project Zero与谷歌DeepMind的合作成果。其最初起源于一个利用大模型进行漏洞研究的早期实验。

谷歌提到，在今年8月的DEF CON安全大会上，负责开发AI辅助漏洞研究工具的网络安全研究人员在SQLite中发现了另一个问题，这激发了他们的团队去寻找更严重的漏洞。

模糊测试难以发现隐蔽的漏洞变种

包括谷歌在内的许多公司，会使用一种名为“模糊测试”（Fuzzing）的技术，通过向软件提供随机或无效的数据来测试系统，从而识别漏洞、触发错误或导致程序崩溃。

谷歌指出，传统模糊测试不足以“帮助防御者发现那些难以或几乎无法找到的漏洞”，他们表示“希望AI能填补这一空白”。

谷歌研究人员称：“我们相信这一方向非常有前景，未来有可能扭转局势，让防御者占据不对称优势。”

“这个漏洞本身非常有趣，因为现有的SQLite测试基础设施，包括OSS-Fuzz和项目自身的测试机制，都未能发现这个问题。于是我们进行了深入的调查。”

谷歌指出，Big Sleep项目的主要动机之一是持续存在的漏洞变种问题。谷歌在2022年发现了非常令人担忧的问题，超过40%的零日漏洞实际上是已报告漏洞的变种。

研究人员补充说，超过20%的零日漏洞是之前已在野外被发现的漏洞的变种。

谷歌表示，他们持续发现此前已被修复的漏洞变种被重新利用的情况。

研究人员指出：“随着这种趋势的延续，很明显，模糊测试未能有效捕捉这些变种。而对于攻击者来说，手动分析这些变种是一种性价比较高的手段。”

大模型擅长发现已知漏洞变种

“我们认为，当前的大模型在处理漏洞变种分析任务时，比在更广泛的开放式漏洞研究中表现得更加适合。通过提供一个起点，例如之前修复的漏洞的详细信息，我们可以在漏洞研究中减少许多不确定性，并基于一个具体且有依据的假设展开工作：‘这是之前的一个漏洞，很可能在其他地方还有类似的漏洞。’”

他们补充说，该项目仍处于早期阶段，目前他们只是在带有已知漏洞的小型软件上评估进展。

他们警告，虽然对他们团队而言，这次发现是一个重要的验证和成功时刻，但他们也重申这些成果仍然是“高度实验性的结果”。

他们表示：“在拥有合适工具的情况下，当前的大模型可以执行漏洞研究任务。”

“Big Sleep团队的立场是，目前针对特定目标的模糊测试器在发现漏洞方面至少与现有方法一样有效。他们希望未来这项工作能为防御者带来显著优势。不仅能够发现导致系统崩溃的测试案例，还可以提供高质量的根因分析，未来的漏洞分级和修复过程也可能因此变得更加高效和低成本。”

多位网络安全研究人员均认为这一研究前景广阔。安全众测厂商Bugcrowd创始人Casey Ellis特别赞赏大模型在处理漏洞变种方面的应用，称其“非常巧妙”。

他评论道：“这项研究充分利用了大模型训练的优势，弥补了模糊测试的一些不足。最重要的是，它模拟了现实世界中安全研究的经济学和研究集群的趋势。”

参考资料：therecord.media

推荐阅读

点击下方卡片关注我们，

带你一起读懂网络安全 ↓

http://mp.weixin.qq.com/s?__biz=MzI4NDY2MDMwMw==&mid=2247512989&idx=1&sn=3db390e902ccf6b370d33cf57039a63b

《安全内参》是专注于网络安全产业发展和行业应用的高端智库平台，致力于成为网络安全首席知识官。曾用名“互联网安全内参”。投稿\x26amp;合作请邮件联系 anquanneican#163.com

最新文章

网安巨头Palo Alto全球数千防火墙被攻陷：因开发低级错误造成零日漏洞

卡巴斯基：2025年犯罪软件和金融网络威胁趋势预测

美国会拟立法：小微企业实施网络安全合规可抵免税费

警惕新型手法！俄黑客远程入侵美国企业WiFi网络进入内网

国家网络安全通报中心发布重点防范境外恶意网址和恶意IP (二)

勒索攻击有多难恢复？这家万亿巨头花了9个月才恢复业务系统

美军研发并推出网络威胁监控和检测创新工具

苹果官方警告：零日漏洞攻击瞄准Mac电脑用户

美国国土安全部发布《关键基础设施中人工智能的角色与责任框架》

美监察部门：应建立政府数据安全统一监管机构

2025年，哪家网络安全厂商会IPO？

美全国水务系统存在大量漏洞，可致使上亿人供水中断

瑞典发布数字化备战指南，强调网络安全和心理建设

因泄露超23.5万患者数据，地方医疗机构赔偿超千万元

美国专家分析特朗普第二任期网络安全政策走势趋向

算力网络数据安全保护框架研究

人均最高7.2万元！知名律所因泄露用户个人信息赔偿超5700万元

工信部：关于防范SteelFox恶意软件的风险提示

网络攻击扰乱美国超市药房运营，超2000家门店受影响

意大利如何成为全球间谍软件中心？

多国警告：零日漏洞攻击暴涨已成为网空新常态

网络攻击致使英国司法部囚车追踪报警系统瘫痪

以色列支付龙头遭DDoS攻击，各地超市加油站等POS机瘫痪

25家跨国企业数据泄露，MOVEit漏洞引发重大安全危机

全球石油巨头因网络攻击损失超2.5亿元

以人为本的网络安全：将人的因素融入网络安全设计

如何解决网军战备问题？美军专家提出网络部队生成创新方案

一句话让大模型聊天助手主动泄露对话敏感信息

Ollama AI框架被曝严重漏洞，可导致DoS、模型盗窃和中毒

美国知名军工芯片厂商因勒索攻击损失超1.5亿元

德国立法保护白帽黑客行为，此前欧美已有多国修法实施

施耐德电气遭数据勒索：开发平台访问凭证暴露 40GB数据失窃

数据是安全新边界！美国政府发布《联邦零信任数据安全指南》

首次利用大模型发现内存安全零日漏洞 (附大模型挖洞经验)

“整合”全能网络安全平台？全是营销套路

德国大型药品批发商遭勒索攻击，欲扰乱超6000家药房供应

六年来首次停滞！网络安全就业市场提前入冬

首次披露：美国CIA曾针对委内瑞拉实施网络战欲挑动颠覆活动

湖南一IT公司未履行数据安全保护义务被罚5万元

通过外网非法获取公民个人信息1亿余条，一安全公司员工获刑

因供应商被黑，物流巨头DHL配送跟踪系统瘫痪

美国联邦政府2024财年采购超1200亿元网络安全产品服务

美国空军将部署新的“综合防御性网络空间系统”

开源情报显威！利用社交APP实时跟踪美俄法等国总统行踪

苹果悬赏百万美元查找“苹果智能”安全漏洞

一机场集团疑遭勒索软件攻击，旗下13个机场紧急切换备用系统

Pwn2Own 2024爱尔兰黑客大赛：共发放超106万美元奖金

近年最大规模！超1亿美国人医疗隐私数据被盗

中南财经政法大学水卡网址打开竟是“色情网站”？学校回应

河南两公司违反《数据安全法》被罚10万元

分类

原创标签

时事社会财经军事教育体育科技汽车科学房产搞笑综艺明星音乐动漫游戏时尚健康旅游美食生活摄影宠物职场育儿情感小说曲艺文化历史三农文学娱乐电影视频图片新闻宗教电视剧纪录片广告创意壁纸头像心灵鸡汤星座命理教育培训艺术文化金融财经健康医疗美妆时尚餐饮美食母婴育儿社会新闻工业农业时事政治星座占卜幽默笑话独立短篇连载作品文化历史科技互联网

发布位置

广东北京山东江苏河南浙江山西福建河北上海四川陕西湖南安徽湖北内蒙古江西云南广西甘肃辽宁黑龙江贵州新疆重庆吉林天津海南青海宁夏西藏香港澳门台湾美国加拿大澳大利亚日本新加坡英国西班牙新西兰韩国泰国法国德国意大利缅甸菲律宾马来西亚越南荷兰柬埔寨俄罗斯巴西智利卢森堡芬兰瑞典比利时瑞士土耳其斐济挪威朝鲜尼日利亚阿根廷匈牙利爱尔兰印度老挝葡萄牙乌克兰印度尼西亚哈萨克斯坦塔吉克斯坦希腊南非蒙古奥地利肯尼亚加纳丹麦津巴布韦埃及坦桑尼亚捷克阿联酋安哥拉