Оглавление

Как сообщает DeepMind, их новый ИИ-агент CodeMender уже за полгода работы отправил 72 исправления безопасности в open source проекты, включая кодбазы объемом до 4,5 миллионов строк.

Как работает CodeMender

Система использует возможности моделей Gemini Deep Think для создания автономного агента, способного находить и исправлять сложные уязвимости. CodeMender оснащен инструментами для анализа кода до внесения изменений и автоматической валидации этих изменений.

Ключевые технические особенности включают:

  • Расширенный программный анализ: статический и динамический анализ, дифференциальное тестирование, фаззинг и SMT-решатели
  • Многоагентные системы: специализированные агенты для решения конкретных аспектов проблем
  • Автоматическая валидация: проверка изменений на функциональную корректность и отсутствие регрессий

Примеры работы системы

В одном из случаев агент обнаружил переполнение буфера в куче, но настоящей причиной оказалась некорректная работа со стеком при парсинге XML-элементов. В другом примере система справилась со сложной проблемой времени жизни объектов и модифицировала кастомную систему генерации C-кода.

Проактивное улучшение безопасности

CodeMender также способен проактивно переписывать существующий код для использования более безопасных структур данных и API. Например, система применяла аннотации -fbounds-safety к библиотеке libwebp, что могло бы предотвратить эксплуатацию уязвимости CVE-2023-4863, использованной в zero-click iOS эксплойте.

Технически впечатляюще, но пока рано говорить о массовом внедрении. 72 исправления за полгода — это капля в море для мировой open source экосистемы. Главный вопрос: как система масштабируется на тысячи проектов с разной архитектурой и как справляется с ложными срабатываниями. Пока все патчи проходят человеческий ревью — и это правильно, учитывая критичность изменений.

Осторожный подход к внедрению

DeepMind подчеркивает осторожный подход к развертыванию технологии. Все сгенерированные патчи проходят проверку исследователями перед отправкой в работу. Компания постепенно увеличивает объем работы и систематически учитывает обратную связь от open source сообщества.

В ближайшие месяцы ожидаются технические публикации с подробностями методов и результатов. CodeMender представляет лишь начало исследования потенциала ИИ для улучшения программной безопасности.