La ricerca di vulnerabilità assistita dall’IA si prepara a inondare l’open source di nuovi report

Secondo Dan Lorenc, CEO di Chainguard, i team di sicurezza potrebbero trovarsi ad affrontare un’estate difficile, poiché i sistemi di IA avanzata stanno scoprendo un numero crescente di falle finora non individuate nei software open source ampiamente utilizzati.

Lorenc ha dichiarato che i nuovi modelli frontier stanno individuando vulnerabilità a un ritmo tale da modificare i processi di divulgazione e risoluzione delle falle nel settore. Le sue osservazioni sono arrivate mentre Chainguard contribuiva al lancio di Athena, una coalizione di circa due dozzine di aziende che si concentra sull’utilizzo dell’IA per identificare e risolvere più rapidamente i problemi di sicurezza nell’open source.

Tra i membri fondatori di Athena figurano aziende come BNY, Cisco, Cloudflare, Docker, JPMorganChase, Kyndryl e PwC. Diversi membri partecipano anche al Project Glasswing di Anthropic e a Daybreak di OpenAI, che forniscono accesso a modelli avanzati per la ricerca di vulnerabilità. Secondo Lorenc, Athena accetta i risultati di qualsiasi modello frontier e ha già elaborato oltre 20.000 report, generando più di 2.000 patch per 500 progetti.

I report su larga scala creano nuovi problemi di coordinamento

Lorenc ha affermato che la sfida non consiste più soltanto nell’individuare i bug, ma anche nel gestire l’enorme volume di scoperte. Molte organizzazioni possono applicare patch al proprio codice quando l’IA rileva difetti nel software proprietario. Il problema più complesso si presenta quando gli stessi strumenti identificano problemi nelle librerie di terze parti che i team non controllano direttamente.

Ha osservato che le applicazioni moderne dipendono spesso in larga misura da componenti open source, il che significa che una singola scansione può far emergere migliaia di problemi distribuiti su numerosi progetti. I team di sicurezza possono così ritrovarsi con lunghe code di report, responsabilità poco chiare e dubbi su quali manutentori siano ancora attivi.

• Gli strumenti di IA individuano un numero crescente di problemi sia nel codice proprietario sia in quello open source.
• Le divulgazioni relative all’open source possono sovraccaricare i manutentori quando i report arrivano in grandi quantità.
• Il tempo che intercorre tra la divulgazione pubblica e lo sfruttamento nel mondo reale continua a ridursi.

Per gestire questo flusso, Athena funge da centro di coordinamento: elimina i duplicati, raggruppa i risultati correlati e lavora a correzioni più ampie per le basi di codice vulnerabili. Prima della divulgazione pubblica, i progetti interessati vengono ricostruiti come versioni private e rafforzate per i membri, mentre le notifiche ai progetti upstream arrivano in un secondo momento. Nei casi in cui i manutentori non siano in grado di rispondere, la coalizione afferma di poter intervenire come correttore di riserva, in ultima istanza.

Anche la Linux Foundation ha aderito all’iniziativa con Akrites, una coalizione separata che coordinerà la risposta alle vulnerabilità attraverso un team condiviso di risposta agli incidenti e un processo di divulgazione standardizzato. I sostenitori affermano che l’obiettivo è ridurre la frammentazione e aiutare i manutentori a gestire i risultati generati dall’IA prima che gli attaccanti possano sfruttarli.