Google revendique une première mondiale alors que l’IA découvre une vulnérabilité de sécurité de type 0-Day
L’équipe Big Sleep de Google découvre pour la première fois une vulnérabilité Zero Day utilisant l’IA.
Mise à jour du 5 novembre 2024 : Cet article, initialement publié le 4 novembre, inclut désormais les résultats de la recherche sur l’utilisation des deepfakes de l’IA.
Un agent d’IA a découvert une vulnérabilité de sécurité mémoire exploitable, de type zero-day, jusqu’alors inconnue, dans des logiciels du monde réel largement utilisés. C’est le premier exemple, du moins rendu public, d’une telle découverte, selon Project Zero et DeepMind de Google, les forces derrière Big Sleep, l’agent de vulnérabilité assisté par un grand modèle de langage qui a repéré la vulnérabilité.
Si vous ne savez pas ce qu’est le Projet Zéro et n’êtes pas impressionné par ce qu’il a accompli dans le domaine de la sécurité, alors vous n’y avez tout simplement pas prêté attention ces dernières années. Ces pirates informatiques et chercheurs en sécurité d’élite travaillent sans relâche pour découvrir les vulnérabilités Zero Day dans les produits Google et au-delà. La même accusation de manque d’attention s’applique si vous ne connaissez pas DeepMind, les laboratoires de recherche sur l’IA de Google. Ainsi, lorsque ces deux mastodontes technologiques ont uni leurs forces pour créer Big Sleep, ils allaient forcément faire des vagues.
Google utilise un grand modèle de langage pour détecter la vulnérabilité Zero Day dans le code du monde réel
Dans une annonce du 1er novembre, le blog Project Zero de Google a confirmé que le projet Cadre de recherche sur les vulnérabilités de sécurité assisté par un grand modèle de langage Naptime a évolué vers Grand sommeil. Cet effort de collaboration impliquant certains des meilleurs hackers éthiques, dans le cadre du Projet Zero, et les meilleurs chercheurs en IA, dans le cadre de Google DeepMind, a développé un grand agent alimenté par un modèle de langage qui peut découvrir des vulnérabilités de sécurité très réelles. dans un code largement utilisé. Dans le cas de cette première mondiale, l’équipe de Big Sleep affirme avoir trouvé « un sous-débordement de tampon de pile exploitable dans SQLite, un moteur de base de données open source largement utilisé ».
La vulnérabilité Zero Day a été signalée à l’équipe de développement SQLite en octobre, qui l’a corrigée le même jour. « Nous avons trouvé ce problème avant qu’il n’apparaisse dans une version officielle », a déclaré l’équipe Big Sleep de Google, « les utilisateurs de SQLite n’ont donc pas été affectés ».
L’IA pourrait être l’avenir du fuzzing, selon l’équipe Google Big Sleep
Même si vous n’avez peut-être jamais entendu le terme « fuzzing », il fait partie du régime alimentaire de base de la recherche en sécurité depuis des décennies. Le fuzzing concerne l’utilisation de données aléatoires pour déclencher des erreurs dans le code. Bien que l’utilisation du fuzzing soit largement acceptée comme un outil essentiel pour ceux qui recherchent des vulnérabilités dans le code, les pirates admettront volontiers qu’ils ne peuvent pas tout trouver. « Nous avons besoin d’une approche qui puisse aider les défenseurs à trouver les bogues difficiles (voire impossibles) à trouver par fuzzing », a déclaré l’équipe de Big Sleep, ajoutant qu’elle espérait que l’IA puisse combler le vide et trouver « les vulnérabilités des logiciels avant même qu’ils ne soient détectés ». libéré », laissant peu de marge de manœuvre aux attaquants.
« Trouver une vulnérabilité dans un projet open source largement utilisé et bien flou est un résultat passionnant », a déclaré l’équipe de Google Big Sleep, tout en admettant que les résultats sont actuellement « hautement expérimentaux ». À l’heure actuelle, l’agent Big Sleep est considéré comme étant aussi efficace qu’un fuzzer spécifique à une cible. Cependant, c’est l’avenir proche qui s’annonce prometteur. « Cet effort apportera un avantage significatif aux défenseurs », a déclaré l’équipe Big Sleep de Google, « avec le potentiel non seulement de trouver des cas de tests qui plantent, mais également de fournir une analyse de haute qualité des causes profondes, le tri et la résolution des problèmes pourraient s’avérer très importants. moins cher et plus efficace à l’avenir.
Le revers de l’IA est visible dans les menaces de sécurité Deepfake
Bien que les nouvelles de Google sur Big Sleep soient rafraîchissantes et importantes, tout comme celles d’un nouveau rapport de la RSA examinant comment l’IA peut contribuer à l’élimination des mots de passe en 2025, le revers de la médaille de la sécurité de l’IA doit toujours être considéré comme Bien. L’un de ces revers est l’utilisation de deepfakes. J’ai déjà expliqué comment les deepfakes pris en charge par Google ont été utilisés dans une attaque contre un utilisateur de Gmail, un rapport qui est devenu viral pour toutes les bonnes raisons. Aujourd’hui, un lecteur de Forbes.com m’a contacté pour m’informer de certaines recherches entreprises pour évaluer comment la technologie de l’IA peut être utilisée pour influencer l’opinion publique. Encore une fois, j’en ai parlé récemment lorsque le FBI a émis un avertissement concernant une vidéo de vote pour les élections de 2024 qui était en fait un faux soutenu par des distributeurs russes. Le dernier Recherche VPNRanks Cela vaut la peine d’être lu dans son intégralité, mais voici quelques statistiques triées sur le volet qui font certainement fonctionner les cellules grises.
- 50 % des personnes interrogées ont rencontré plusieurs fois des vidéos deepfakes en ligne.
- 37,1 % considèrent les deepfakes comme une menace extrêmement sérieuse pour la réputation, notamment lorsqu’il s’agit de créer de fausses vidéos de personnalités publiques ou de personnes ordinaires.
- Les inquiétudes concernant la manipulation de l’opinion publique par les deepfakes sont élevées, avec 74,3 % des personnes extrêmement préoccupées par une éventuelle utilisation abusive dans des contextes politiques ou sociaux.
- 65,7 % pensent qu’un deepfake publié pendant une campagne électorale influencerait probablement l’opinion des électeurs.
- 41,4 % estiment qu’il est extrêmement important que les plateformes de médias sociaux suppriment immédiatement les contenus deepfakes non consensuels une fois signalés.
- En ce qui concerne les prévisions pour 2025, les tentatives mondiales de fraude à l’identité liées aux deepfakes devraient atteindre 50 000 et plus de 80 % des élections mondiales pourraient être affectées par des ingérences deepfakes, menaçant ainsi l’intégrité de la démocratie.
