A OpenAI acaba de apresentar a sua mais recente arma no arsenal da cibersegurança: o Aardvark. Trata-se de um novo agente de Inteligência Artificial, descrito pela empresa como um "investigador de segurança autónomo", concebido para identificar e corrigir vulnerabilidades em software de forma proativa. Atualmente, a ferramenta está disponível em beta privado apenas para parceiros selecionados.
Como funciona o Aardvark?
O Aardvark opera de forma muito semelhante a um verdadeiro investigador de segurança. Segundo a OpenAI, o agente analisa o código, utiliza ferramentas de verificação e executa testes para encontrar erros. Para tal, recorre a "raciocínio alimentado por LLM e utilização de ferramentas" para identificar falhas e propor soluções.
O processo começa com o Aardvark a monitorizar repositórios de código-fonte e a analisar os commits (as alterações submetidas pelos programadores). A partir daí, procura vulnerabilidades, dando prioridade àquelas que representam um maior risco.
Assim que uma potencial falha é detetada, o agente testa-a num ambiente seguro e isolado (sandboxed) para avaliar se pode ser explorada. Confirmada a vulnerabilidade, o Aardvark sugere correções através do Codex, o outro agente de IA da OpenAI focado em ajudar os programadores a escrever, rever e implementar código. A empresa salienta que o Aardvark é também capaz de encontrar outro tipo de erros, como falhas de lógica, correções incompletas e problemas de privacidade.
Eficácia já comprovada em ambiente real
A OpenAI já tem vindo a utilizar o Aardvark internamente para reforçar a segurança dos seus próprios sistemas, tendo também recebido feedback positivo dos parceiros externos que participaram na fase alfa de testes. De acordo com a empresa, o agente conseguiu identificar 92% de vulnerabilidades falsas introduzidas durante os testes, demonstrando uma "elevada capacidade de recordação e eficácia no mundo real".
A ferramenta já foi também utilizada em projetos de código aberto, onde identificou inúmeras vulnerabilidades. Destas, dez foram consideradas suficientemente significativas para receberem identificadores oficiais de Common Vulnerabilities and Exposures (CVE).
Aproveitando o lançamento, a OpenAI anunciou ainda uma atualização à sua política de divulgação coordenada, que explica como a empresa reporta falhas de segurança encontradas em sistemas de terceiros, tornando-a mais flexível para com os programadores.
Nenhum comentário
Seja o primeiro!