Команда WordPress Security Team ведет разработку ИИ-инструментов, предназначенных для поиска уязвимостей в ядре WordPress еще до того, как их обнаружат другие. По сути, система, которая ранее применялась для триажа поступающих баг-репортов, теперь перенаправлена на анализ самого исходного кода.
Руди Фейл, руководитель отдела безопасности в компании Automattic, рассказал об этом в публикации в блоге Making WordPress Secure на прошлой неделе. Это произошло спустя два месяца после того, как он анонсировал инициативу Core Security Initiative, призванную помочь справиться с лавинообразным ростом числа сообщений об уязвимостях, подготовленных с помощью ИИ.
«Простого реагирования на поступающие отчеты уже недостаточно — мы хотим находить баги раньше других, — написал Фейл. — Инструментарий на базе автономных ИИ-агентов, который мы создали для анализа входящих баг-репортов, теперь работает в обратном направлении: он ищет уязвимости в ядре до того, как о них кто-либо сообщит».
По его словам, в системе используются модели с открытыми весами и специализированные харнессы. Любые найденные уязвимости будут проходить через стандартный процесс выпуска исправлений, принятый в WordPress.
Однако инструмент пока не запущен в работу. В комментарии Фейл отметил, что команда продолжает проводить тестирование и оценку эффективности системы, поэтому сроки ее полноценного запуска пока не раскрываются.
«Мы намеренно не называем дату запуска, так как хотим оценить реальный эффект уже после внедрения — точно так же, как мы это делали в случае с триажем уязвимостей», — пояснил он.
Фейл отметил, что в конечном итоге команда хотела сравнить уязвимости, выявленные и устраненные благодаря сообщениям от исследователей, с теми, что были обнаружены с помощью автоматизированных средств поиска. Он также подтвердил, что уязвимости, выявленные самой командой безопасности в выпущенной на прошлой неделе версии WordPress 7.1.4 (в которой было устранено 22 уязвимости), были найдены без помощи этих новых инструментов. Значительную часть проблем в этом релизе обнаружили сами участники команды, в том числе Бен Биднер, Алекс Конча, Джон Суррелл, Луис Эрранц и Уэстон Рутер.
Отвечая на вопрос, почему команда выбрала модели с открытыми весами, Фейл пояснил, что дело в контроле.
«Мы решили использовать модели с открытыми весами, поскольку они дают нам больше возможностей для контроля над тем, как мы создаем, настраиваем и оцениваем наши инструменты для поиска уязвимостей, — сказал он. — Сама модель — это лишь часть уравнения. Основная работа заключается в создании инфраструктуры, инструментов и процессов, которые позволяют нам систематически выявлять, проверять и, в конечном итоге, устранять уязвимости».
Команда также подключила WordPress к программе Anthropic OSS Scanner — бесплатному сервису, который проводит периодическое сканирование проектов с открытым исходным кодом на предмет уязвимостей, используя наиболее мощные модели компании Anthropic. По данным издания Betanews, прием заявок на участие в программе был открыт 8 октября.
В своей публикации Фейл отметил, что команда уже приступила к устранению проблем, выявленных в ходе первого сканирования. Он сослался на релиз WordPress 7.1.4, в описании которого упоминается вклад Anthropic в обнаружение двух уязвимостей. Это уже четвертый с августа выпуск обновлений безопасности ядра WordPress, в котором отмечена помощь этой ИИ-компании.
Фейл подчеркнул, что сканер от Anthropic предоставляет команде дополнительный независимый источник данных об уязвимостях. В то же время собственные инструменты позволяют специалистам сосредоточиться на специфических для WordPress векторах атак, экспериментировать с различными подходами и интегрировать процессы поиска уязвимостей непосредственно в рабочие циклы обеспечения безопасности.
«Я не рассматриваю эти инициативы как конкурирующие. Чем больше у нас разнообразных и эффективных способов обнаружения уязвимостей — прежде чем до них доберутся злоумышленники, — тем лучше», — добавил он.
Работа по поиску уязвимостей дополняет уже применяемую командой систему ИИ-триажа. Согласно публикации Фейла, эта система анализирует поступающие сообщения, безопасно воспроизводит описанные в них уязвимости, а затем формирует краткое резюме и рекомендации относительно обоснованности отчета и степени серьезности проблемы. При этом окончательное решение всегда остается за специалистами команды по безопасности.
Фейл сообщил, что количество необработанных заявок сократилось с 359 до двузначного числа — это произошло после того, как 1 сентября команда сузила охват программы и внедрила систему триажа. Только в текущем году команда закрыла почти 3000 обращений; по словам Фейла, за этот год в программу поступило больше заявок, чем за предыдущие 12 лет вместе взятые.
Это колоссальный объем работы для программы, которая на протяжении примерно десяти лет получала лишь 20–30 отчетов в месяц. В июле число заявок достигло 450, в августе — 773, а на странице WordPress в платформе HackerOne сейчас отображается 2261 отчет за последние 90 дней.
За 41 день — с 17 сентября (версия 7.1.1) по 28 октября (версия 7.1.4) — команда выпустила четыре обновления безопасности. По словам Фейла, 73% из 109 этапов процесса подготовки таких обновлений теперь частично автоматизированы. Джон Блэкборн, представитель команды по безопасности, сообщил, что специалисты стремятся к созданию «идеального процесса выпуска обновлений безопасности», в частности, внедряя скрипты для бэкпортирования кода — работу, которую раньше приходилось выполнять вручную для 25 веток.
Однако всё это требует растущих затрат. За последние 90 дней сумма выплаченных вознаграждений за найденные уязвимости превысила 90 000 долларов. С момента запуска программы на платформе HackerOne в 2017 году все выплаты осуществляет компания Automattic. На вопрос о том, пересматривала ли команда размеры вознаграждений, Фейл ответил, что они планируют увеличить некоторые из них.
«Мы хотим платить больше за критические уязвимости или уязвимости с высоким уровнем воздействия, которые обнаруживают сторонние исследователи и о которых они сообщают ответственным образом, — пояснил он. — Мы стремимся поощрять качественные исследования в области безопасности, а не препятствовать им».
Другие проекты с открытым исходным кодом выбрали иной путь. Проект curl в конце января закрыл свою программу вознаграждений из-за потока низкокачественных отчетов, созданных с помощью ИИ. Проект Node.js в апреле приостановил выплаты после того, как программа Internet Bug Bounty на платформе HackerOne — источник финансирования для Node.js с 2016 года — перестала принимать новые заявки. 1 октября компания Google также приостановила прием сообщений об уязвимостях в своих проектах с открытым исходным кодом, сославшись на резкий рост числа автоматизированных отчетов, большинство из которых оказались ложными.
В Drupal программа вознаграждений за найденные уязвимости в настоящее время отсутствует. В Drupal Association заявляют, что, будучи некоммерческой организацией, они не могут поддерживать такую программу ни для сайта Drupal.org, ни для самого программного обеспечения Drupal, поскольку у них нет на это средств.
В своей публикации Фейл также призывает компании, работающие на базе WordPress, выступить спонсорами специалистов, занимающихся анализом и устранением уязвимостей, а также внести вклад в программу баг-баунти. Это перекликается с письмом, которое исполнительный директор WordPress Мэри Хаббард в прошлом месяце направила более чем 30 крупнейшим компаниям экосистемы, предложив им оказать финансовую поддержку программе обеспечения безопасности.
Отвечая на вопрос о том, согласилась ли какая-либо из компаний предоставить финансирование после обращения Хаббард, Фейл отметил, что, по его сведениям, переговоры еще продолжаются, и выразил признательность организациям, которые уже сотрудничают напрямую с командой Security Team.
Независимый коммиттер Аарон Джорбин, руководивший двумя из четырех последних релизов (включая версию 7.1.4), в комментариях к публикации Фейла написал, что будет рад появлению новых спонсоров.
Источник: oddstyle.ru