[Перевод] Иголка в стоге сена: как LLM помогают искать уязвимости
За последние несколько недель я отправил довольно много репортов об уязвимостях. Небольшая их часть уже исправлена и раскрыта через бюллетени безопасности. Все они найдены исключительно с помощью LLM, без какого-либо ручного ревью исходного кода. Проекты, в которых я нашел эти проблемы, хорошо известны и широко используются. Среди них есть известные вроде Parse Server, HonoJS, ElysiaJS, Harden Runner и еще около десятка заметных проектов.
На мой взгляд, это доказывает: агентные CLI/TUI-инструменты вроде OpenAI Codex без всяких сомнений могут помогать находить серьезные уязвимости. Но как именно использовать их так, чтобы выявлять неочевидные проблемы? По итогам экспериментов и тысяч и тысяч промптов, отправленных в попытках найти уязвимости, я пришел к нескольким выводам. Возможно, они небезупречны с теоретической точки зрения, но это самые практичные выводы, к которым я смог прийти.
Читать далееИсточник: Хабрахабр
Похожие новости
- AI-пентестер: охотник или добыча
- [Перевод] Изнурительно подробное руководство по SSH (лишь те аспекты, которые я нахожу полезными)
- Сибирскому провайдеру погрозили пальцем за утечку данных десятков тысяч пользователей
- Безопасность GitHub Actions: модель угроз, атаки и меры защиты. Часть 1
- GDDRHammer и GeForge— анатомия атак, превративших видеопамять в оружие
- Spark_news: 85% фрилансеров не знают, что такое полноценный отдых
- [Перевод] YellowKey: zero-day эксплойт полностью обходит стандартную защиту BitLocker в Windows 11
- Почему ИИ-боты более уязвимы, чем их базовые LLM-модели?
- Spark_news: Компании в сфере туризма и ПО стали драйверами рекламного рынка
- Air Production: Как построить ecom для мебельного ритейла с каталогом в 100 000 SKU и 2 млн конфигураций товаров