OSS-Fuzz حالا وصلهها رو هم خودش مینویسه
هوش مصنوعی
گوگلخلاصهٔ کاملتر
گوگل تو بلاگ امنیتیش اعلام کرده که OSS-Fuzz از این به بعد فقط باگ گزارش نمیکنه، بلکه وصله هم تحویل میده. تو این مطلب اومده که از ۲۰۱۶ تا حالا OSS-Fuzz دهها هزار باگ پیدا کرده، ولی همین موفقیت خودش بار نگهدارندههای متنباز رو سنگینتر کرده: پیدا شدن باگ تازه اول ماجراست و آخرش یکی باید بشینه فیکسش رو بنویسه.
کاری که الان اضافه شده اینه که OSS-Fuzz به CodeMender وصل شده؛ ایجنت هوش مصنوعی گوگل دیپمایند برای امنیت کد. وقتی فازر یه آسیبپذیری پیدا میکنه، جزئیات کرش و کدِ مرتبط مستقیم میره سمت CodeMender و اون مسیرها و فرضیههای مختلف رو موازی بررسی میکنه تا به ریشهٔ واقعی مشکل برسه، نه اینکه فقط علامتش رو بپوشونه. بعدش هم پچ رو اعتبارسنجی میکنه که چیزی رو نشکنه.
نویسندهها روی یه نکته تأکید دارن: اسکنرهای صرفاً ایجنتی نرخ مثبت کاذب بالایی دارن و آدمها باید وقت بذارن تا بفهمن کدوم گزارش واقعیه؛ ضمن اینکه اسکن مداوم یه مخزن بزرگ با مدلهای پیشرفته برای بیشتر پروژهها خیلی گرون درمیاد. برای همین فازینگ سنتی هنوز بخش مهمی از دفاع در عمقه، چون تقریباً بدون مثبت کاذب باگِ تأییدشده تحویل میده.
بحث کیفیت پچ هم جدی گرفته شده، چون به گفتهٔ نویسندهها خیلی از نگهدارندهها از سیل پچهای تولیدشده با AI خستهن. گوگل میگه قبل از هر اقدام قوانین مشارکت هر مخزن رو چک میکنه و اگه پروژهای کد AI رو نپذیره، اصلاً چیزی نمیفرسته. هر پچ توی محیط ایزوله کامپایل و تست میشه تا ثابت بشه کرش رو رفع میکنه و تستی رو هم نمیشکنه، و فعلاً تو فاز بتا مهندسهای گوگل هم دستی بازبینیش میکنن.
این وصلههای خودکار فعلاً فقط برای پروژههای C/C++ و آسیبپذیریهای مربوط به ایمنی حافظه فعاله. پروژههایی که همین الان تو OSS-Fuzz ثبتان لازم نیست تنظیماتشون رو عوض کنن و پچها خودکار به گزارشهای واجد شرایط پیوست میشه؛ هر پروژهای هم بخواد میتونه با تغییر پیکربندی OSS-Fuzz خودش رو از این قابلیت خارج کنه.
نکات کلیدی:
- OSS-Fuzz حالا علاوه بر گزارش باگ، پچ آماده هم تحویل میده
- موتور تولید پچ، CodeMender از گوگل دیپماینده که دنبال ریشهٔ اصلی باگ میگرده
- هر پچ قبل از ارسال توی محیط ایزوله کامپایل و تست میشه
- قوانین AI-contribution هر مخزن رعایت میشه و پروژههای مخالف چیزی دریافت نمیکنن
- فعلاً محدود به C/C++ و باگهای ایمنی حافظه، با امکان opt-out
