MWC 2018
2018
Computex
IFA 2018
Компания Google рассказала подробно о роли искусственного интеллекта в обеспечении безопасности браузера Chrome. Технологический гигант намерен задействовать нейросети для обновления интернет-обозревателя без необходимости его полной перезагрузки пользователем. Это позволит быстрее развёртывать важные патчи, тем самым делая приложение безопаснее.
Источник изображений: Google
Хотя Google требуется 1-2 дня на разработку, тестирование и выпуск патча для исправления обнаруженных уязвимостей, «время ожидания перезапуска Chrome пользователем может стать фактором риска эксплуатации уязвимостей нулевого дня». Для решения этой проблемы Google намерена «устранить необходимость полной перезагрузки браузера в большинстве случаев» за счёт «динамического обновления». Эта технология работает через замену фоновых дочерних процессов на обновлённые «на лету». Такой подход реализуется благодаря многоуровневой архитектуре Chrome, где разные компоненты функционируют изолированно друг от друга, что и позволяет заменять их без перезапуска всего приложения.
В настоящее время Google продолжает разработку этой функции. Параллельно с этим разработчики «изучают варианты обеспечения бесшовного восстановления сессии, даже в сложных случаях, сохраняя больше данных о состоянии браузера локально». Такой подход станет более важным, когда Google переведёт Chrome на двухнедельный цикл обновления позднее в этом году. До тех пор технология не будет реализована в полной мере и Google будет выбирать «удобные моменты для автоматической перезагрузки», когда можно гарантировать бесшовное восстановление сессии. К примеру, Chrome 150 для macOS будет автоматически перезапускаться, если есть неустановленное обновление, а все пользовательские окна закрыты, т.е. в случаях, когда приложение функционирует в фоновом режиме.
Вместе с этим Google раскрыла информацию об использовании больших языковых моделей для поиска уязвимостей. Работа в этом направлении ведётся с 2023 года, а в начале этого года разработчики начали использоваться специальную среду, внутри которой Gemini и другие алгоритмы ищут уязвимости во всей кодовой базе Chrome. Одним из наиболее примечательных результатов этой работы стало обнаружение бага, который оставался в коде Chrome в течение 13 лет. Это указывает на то, что ИИ становится важным инструментом не только для разработки, но и обеспечения безопасности программных продуктов.
Вместе с этим Google раскрыла любопытные детали касательно процесса работы над повышением безопасности Chrome с помощью ИИ. В сообщении IT-гиганта отмечается, что ИИ анализирует программный код исключительно внутри изолированной среды, не имеющей доступа в интернет. В дополнение к этому для проведения сканирований используется выделенная инфраструктура, которая перехватывает все сетевые запросы и применяет к ним строгие списки разрешений на основе запускаемого приложения и целевого адреса, блокируя любую подозрительную активность ИИ-моделей.
Отмечается, что ИИ-модели никогда не запускаются в режиме без ограничений, а ИИ-агентам строго запрещено вносить изменения в локальную систему или получать доступ к файлам, расположенным за пределами специально выделенных каталогов с исходным кодом. Команда Chrome также напомнила о многолетнем сотрудничестве с Google Deep Mind и Project Zero, в том числе в рамках проектов BigSleep и CodeMender. Созданные совместно инструменты постоянно используются для поиска уязвимостей в новом программном коде. Такой подход только в мае помог выявить более 20 уязвимостей, которые могли попасть в продуктивную среду, включая одну критическую уязвимость.
Для устранения уязвимостей используется рабочий процесс с несколькими ИИ-агентами, в котором языковые модели генерируют варианты исправлений почти для всех выявленных багов. После завершения начальных этапов сборки, в процессе которых агент получает контекст конкретной уязвимости, начинает работать другой агент, который анализирует код и предлагает несколько вариантов исправления. Затем подключается агент, оценивающий предложенные варианты и определяющий, какой из них наиболее подходящий и безопасный. Он также генерирует обоснование, изменения в документации и другую информацию, чтобы разработчики могли быстрее проверить результат деятельности системы. Агенты работают в цикле для постепенного улучшения решения, пока оно не станет функциональным, безопасным и соответствующим правилам оформления кода Chromium и Google. Параллельно с этим агенты, генерирующие код, создают тесты и интеграционные проверки для каждого исправления. Это позволяет выявлять потенциальные проблемы до того, как разработчик начнёт проверку, сокращая время, необходимое на отладку вручную, на недели.
Результаты такого подхода выглядят весьма впечатляюще. За последние два релиза Chrome 149 и Chrome 150 было устранено 1072 уязвимости. Это больше, чем было устранено багов за предыдущие 23 релиза вместе взятые.
Источник:
