Google hat mit der Entdeckung eines kritischen, 20 Jahre alten Softwarefehlers in der OpenSSL-Bibliothek einen Meilenstein in der Cybersicherheit erreicht. Die Entdeckung ist Teil von Googles laufender Arbeit an OSS-Fuzz, einem Projekt zur Suche nach und Meldung von Softwarefehlern in Open-Source-Projekten. Mithilfe von KI-generierten und optimierten Fuzzing-Zielen – im Wesentlichen automatisierten Tests zur Aufdeckung von Sicherheitslücken – hat Google kürzlich 26 neue Sicherheitslücken identifiziert, darunter den OpenSSL-Fehler (CVE-2024-9143).
Diese Leistung ist bemerkenswert, weil herkömmliche, von Menschen erstellte Fuzzing-Ziele den Fehler nicht aufdecken konnten, der zwei Jahrzehnte lang im kritischen OpenSSL-Codebestand verborgen geblieben war. Die von der KI generierten Fuzzing-Ziele untersuchten zuvor nicht getestete Codepfade und ermöglichten so die Entdeckung von Sicherheitslücken, die andernfalls möglicherweise unentdeckt geblieben wären. Dieser Durchbruch zeigt, wie künstliche Intelligenz die Erkennung von Sicherheitslücken verändert und die Sicherheit von Open-Source-Software verbessert.
Wie KI-Software dies möglich machte
Der Durchbruch wird von einem großen Sprachmodell (LLM) ermöglicht, das in Googles Fuzzing-Workflow integriert ist. Diese KI-Software verbessert die Abdeckung, indem sie Aufgaben automatisiert, die traditionell manuelles Arbeiten erforderten, darunter:
- Erstellen von Fuzzing-Zielen: Das LLM generiert auf Grundlage projektspezifischer Zusammenhänge gezielte Tests.
- Beheben von Kompilierungsfehlern: Es behebt während der Erstellung des Fuzzing-Ziels iterativ auftretende Probleme.
- Ausführen erster Tests: Die KI verfeinert die Fuzzing-Ziele, indem sie Laufzeitprobleme behebt.
- Triage und Analyse: Abstürze werden analysiert, um ihre Ursachen zu ermitteln und festzustellen, ob sie tatsächlich Sicherheitslücken darstellen.
Dieser iterative Prozess hat die Codeabdeckung in 272 Projekten erweitert und die Tests dadurch deutlich verbessert.
Wichtige entdeckte Sicherheitslücken
Neben dem OpenSSL-Fehler entdeckte Google eine Sicherheitslücke im cJSON-Projekt. Dies zeigt die Wirksamkeit von KI-generierten Fuzzing-Zielen in Projekten, die zuvor mit von Menschen erstellten Test-Harnesses getestet worden waren. Diese Ergebnisse machen deutlich, dass selbst gründlich getestete Software unentdeckte Schwachstellen enthalten kann.
Herkömmliche Metriken wie die Zeilenabdeckung erfassen häufig nicht alle möglichen Codepfade und Zustände. Dadurch werden KI-generierte Fuzzing-Ziele zu einem wichtigen und nützlichen Werkzeug zur Verbesserung der Sicherheit.
Die Zukunft von Googles KI-Produkten
Google plant, die Grenzen der KI-gestützten Erkennung von Sicherheitslücken weiter auszuloten. Zu den anstehenden Zielen gehören die Automatisierung von Triage-Prozessen, um die menschliche Überwachung zu reduzieren, die direkte Integration von KI-Tools in die OSS-Fuzz-Plattform sowie die Befähigung von LLMs, für entdeckte Sicherheitslücken autonom Patches zu erstellen.
Durch die Integration agentenbasierter Architekturen, die es KI-Modellen ermöglichen, Debugging-Tools zu verwenden und Ergebnisse zu validieren, will Google eine vollständig automatisierte End-to-End-Lösung zur Erkennung und Behebung von Softwarefehlern schaffen.
Googles Entdeckung unterstreicht das transformative Potenzial von KI-Tools für den Schutz kritischer Infrastrukturen. Mit der Weiterentwicklung von KI-Modellen werden diese voraussichtlich verborgene Sicherheitslücken schneller und effektiver als je zuvor aufdecken und so sicherstellen, dass Open-Source-Projekte robust bleiben und vor Ausnutzung geschützt sind.