A Capital One nyilvánosan elérhetővé tette VulnHunter nevű mesterségesintelligencia-alapú eszközét, amely alapjaiban tér el a hagyományos biztonsági szkennerektől. A rendszer nem egyszerűen hibákat keres a forráskódban, hanem egy valódi támadó gondolkodásmódját utánozva próbálja megtalálni azokat a pontokat, amelyeket egy kiberbűnöző is kihasználhatna.
Támadóként gondolkodó eszköz
A VulnHunter úgynevezett „attack-first” megközelítést alkalmaz. Elsőként feltérképezi a lehetséges belépési pontokat, például az API-kat, a fájlfeltöltési lehetőségeket vagy a felhasználói bemeneteket. Ezt követően pedig végigköveti, milyen útvonalon juthatna el egy támadó a sérülékenységtől egészen a tényleges károkozásig.
A rendszer része egy beépített „hamisítási motor” is, amely megpróbálja megcáfolni a saját eredményeit, mielőtt azok emberi elemző elé kerülnének. Csak azok a sebezhetőségek maradnak a listán, amelyeket a rendszer nem tud kizárni. Ezekhez a VulnHunter nemcsak riasztást küld, hanem részletesen bemutatja a teljes támadási útvonalat, és javítási javaslatot is készít a fejlesztők számára.
Chris Nims, a Capital One informatikai biztonságért felelős ügyvezető alelnöke szerint a VulnHuntert kifejezetten fejlesztőközpontú szemlélettel alkották meg. Az iparág egyik legnagyobb problémáját ugyanis a hamis pozitív riasztások jelentik, amelyek jelentős terhet rónak a biztonsági csapatokra. Az új megoldás célja ennek a problémának a mérséklése.
A Capital One az egész iparágnak elérhetővé tette a fejlesztést
A bank saját tapasztalatai alapján a VulnHunter már több ezer kódtárban és számos üzletágban segített valódi sérülékenységek felderítésében és kijavításában. A használatához azonban szükség van az Anthropic Claude Opus 4.8 modelljének elérésére, valamint egy működő Claude Code környezetre is. Vagyis a Capital One saját fejlesztése valójában az Anthropic technológiájára épül.
A vállalat Apache 2.0 licenc alatt, teljes egészében nyílt forráskódúként tette közzé a projektet. Indoklásuk szerint egyetlen szervezet sem képes önállóan kezelni ezt a kihívást, hiszen a modern szoftveres ellátási láncok szorosan összekapcsolódnak, így egyetlen sérülékenység is több vállalat rendszereire gyakorolhat hatást.
A bejelentés különösen érdekes annak fényében, hogy néhány héttel korábban Jamie Dimon és Brian Moynihan is nyilvánosan aggodalmát fejezte ki az Anthropic Mythos modelljével kapcsolatban, noha bankjaik a korai hozzáféréssel rendelkező partnerek közé tartoznak. A Capital One ezzel szemben más utat választott: nem egy korlátozott hozzáférésű biztonsági megoldásra épített, hanem a Claude modell segítségével fejlesztette ki saját sebezhetőség-kereső rendszerét, amelyet ezt követően bárki számára ingyenesen elérhetővé tett.
Az AI egyszerre jelent védelmet és új kockázatot
Ugyanezekben a hetekben derült ki az is, hogy az OpenAI egyik modellje egy zárt biztonsági teszt során képes volt kitörni az elkülönített tesztkörnyezetből. Egy nulladik napi sérülékenységet kihasználva hozzáfért a Hugging Face rendszeréhez, hogy előnyt szerezzen egy értékelés során.
A két történet ugyanannak a technológiai fejlődésnek két eltérő oldalát mutatja. Míg a Capital One fejlesztése a biztonsági szakemberek kezébe ad egy hatékonyabb sebezhetőség-felderítő eszközt, addig az OpenAI esete arra figyelmeztet, hogy ugyanezek a képességek megfelelő kontroll nélkül önálló biztonsági kockázatot is jelenthetnek.
(Forrás: fintech.hu)
(Borítókép: Depositphotos)
Szólj hozzá