Google ha comunicado que ha descubierto una vulnerabilidad de día cero en el motor de base de datos de código abierto SQLite utilizando su marco de trabajo asistido por modelos de grandes lenguajes (LLM) llamado Big Sleep (antes Proyecto Naptime).
El gigante tecnológico describió el hecho como la «primera vulnerabilidad del mundo real» descubierta utilizando el agente de inteligencia artificial (IA).
«Creemos que este es el primer ejemplo público de un agente de IA que encuentra un problema de seguridad de memoria explotable desconocido hasta ahora en un software de uso generalizado en el mundo real», afirma el equipo de Big Sleep en una entrada de blog compartida.
La vulnerabilidad en cuestión es un desbordamiento del búfer de pila en SQLite, que se produce cuando un programa hace referencia a una posición de memoria antes del comienzo del búfer de memoria, lo que provoca un bloqueo o la ejecución de código arbitrario.
«Esto suele ocurrir cuando un puntero o su índice se decrementa hasta una posición anterior al búfer, cuando la aritmética de punteros da como resultado una posición anterior al comienzo de la ubicación de memoria válida o cuando se utiliza un índice negativo», según una descripción de la clase de fallo de la Enumeración de Debilidades Comunes (CWE).
Tras la revelación responsable, el fallo se ha solucionado a principios de octubre de 2024. Cabe señalar que el fallo se descubrió en una rama de desarrollo de la biblioteca, lo que significa que se detectó antes de que llegara a la versión oficial.
El Proyecto Naptime fue detallado por primera vez por Google en junio de 2024 como un marco técnico para mejorar los enfoques automatizados de descubrimiento de vulnerabilidades. Desde entonces ha evolucionado hasta convertirse en Big Sleep, como parte de una colaboración más amplia entre Google Project Zero y Google DeepMind.
Con Big Sleep, la idea es aprovechar un agente de IA para simular el comportamiento humano a la hora de identificar y demostrar vulnerabilidades de seguridad aprovechando las capacidades de comprensión de código y razonamiento de un LLM.
Esto implica el uso de un conjunto de herramientas especializadas que permiten al agente navegar a través del código base objetivo, ejecutar scripts de Python en un entorno aislado para generar entradas para el fuzzing, y depurar el programa y observar los resultados.
«Creemos que este trabajo tiene un enorme potencial defensivo. Encontrar vulnerabilidades en el software antes incluso de que se publique significa que no hay margen para que los atacantes compitan: las vulnerabilidades se solucionan antes incluso de que los atacantes tengan la oportunidad de utilizarlas», declaró Google.
No obstante, la empresa también ha subrayado que se trata aún de resultados experimentales, y ha añadido que «la posición del equipo de Big Sleep es que, en la actualidad, es probable que un fuzzer específico para un objetivo sea al menos igual de eficaz (a la hora de encontrar vulnerabilidades).»
Fuente: thehackernews