VulnHunter: Инструмент агентного ИИ для безопасности кода от Capital One теперь с открытым исходным кодом

Capital One открыл исходный код VulnHunter — агентного ИИ-инструмента для безопасности кода, который активно анализирует исходный код с точки зрения атакующего. Разработанный для противодействия растущей угрозе автоматизации эксплойтов с помощью ИИ, VulnHunter делает три вещи, отличающие его от пассивных сканеров: он использует механизм опровержения для минимизации ложных срабатываний, анализирует от доступных атакующему точек входа, а не от опасных точек выхода, и создает обоснованные исправления кода.

Ключевые технические особенности

• Механизм опровержения: После выявления потенциальной уязвимости VulnHunter активно пытается опровергнуть собственное предположение, ища неподтвержденные допущения, логические пробелы или условия, которые предотвратили бы атаку. Только находки, прошедшие эту проверку, попадают к разработчику.
• Анализ от атакующего: Вместо поиска по шаблонам от опасных точек выхода, VulnHunter начинает с доступных атакующему точек входа (API, сетевые сообщения, загрузки файлов) и анализирует логику приложения, преобразования данных и контрольные точки безопасности, чтобы оценить, может ли атакующий реально пробить оборону.
• Обоснованные исправления: Если находка проходит опровержение, VulnHunter восстанавливает весь путь эксплойта, описывает возможности, которые получит атакующий, и генерирует целенаправленные изменения кода для проверки разработчиком.

Ориентация на опыт разработчика

VulnHunter спроектирован для снижения нагрузки по триажу за счет сознательного избегания ложных тревог. Инструмент выдает только находки, которые были строго проверены внутри, чтобы разработчики могли сосредоточиться на исправлении подтвержденных уязвимостей, а не на фильтрации шума.

Инструмент создан для масштаба предприятия, но открытый исходный код делает его доступным для любой команды разработчиков. Хотя Capital One тестировала его на своей кодовой базе перед выпуском, в исходники включены полный рабочий процесс агентного вывода и механизм опровержения.