O agente de IA do Google reescreve automaticamente o código para corrigir vulnerabilidades de segurança

O Google DeepMind apresentou um novo agente de IA que identifica e resolve de forma autônoma vulnerabilidades críticas de segurança em códigos de software. Batizado de CodeMender, o sistema já forneceu 72 patches de segurança para os principais projetos de código aberto nos últimos seis meses.

Detectar e resolver vulnerabilidades continua sendo uma tarefa notoriamente difícil e trabalhosa, mesmo com técnicas automatizadas estabelecidas, como o fuzzing. As pesquisas anteriores do Google DeepMind, incluindo iniciativas orientadas por IA, como Big Sleep e OSS-Fuzz, descobriram com sucesso novas vulnerabilidades de dia zero em bases de código bem revisadas. No entanto, esse sucesso introduz um novo desafio: à medida que a IA acelera a descoberta de falhas, a pressão sobre os desenvolvedores para solucioná-las também aumenta.

O CodeMender foi criado para lidar com esse desequilíbrio crescente. Ele funciona como um agente de IA totalmente autônomo que adota uma abordagem completa para proteger o software. O sistema opera de forma reativa - corrigindo vulnerabilidades recém-identificadas à medida que elas surgem - e proativa - reescrevendo o código existente para eliminar classes inteiras de riscos de segurança antes que elas possam ser exploradas. Isso permite que os desenvolvedores e mantenedores de projetos dediquem mais tempo à criação de novos recursos e ao aprimoramento do desempenho do software.

O sistema conta com as sofisticadas habilidades de raciocínio dos recentes modelos Gemini Deep Think do Google. Essa tecnologia subjacente ajuda o agente a depurar e resolver problemas complexos de segurança com autonomia significativa. O CodeMender também é equipado com um conjunto de ferramentas que permite analisar e avaliar cuidadosamente o código antes de fazer qualquer modificação. Além disso, ele incorpora uma fase de validação para garantir que as correções propostas sejam precisas e não criem problemas inesperados, geralmente chamados de regressões.

Considerando os altos riscos envolvidos na segurança do código, mesmo com a evolução de grandes modelos de linguagem, um único erro de codificação pode ser extremamente caro. A estrutura de validação automatizada do CodeMender é, portanto, essencial. Ela verifica sistematicamente se cada correção proposta aborda a causa subjacente da vulnerabilidade, mantém a correção funcional, não interrompe os testes existentes e se alinha às convenções de codificação do projeto. Somente os patches que atendem a todos esses critérios rigorosos são apresentados para análise humana.

Para aumentar a eficácia do sistema, a equipe da DeepMind desenvolveu novas técnicas para o agente de IA. O CodeMender emprega análise avançada de programas, com base em análises estáticas e dinâmicas, testes diferenciais, fuzzing e solucionadores SMT. Essas ferramentas ajudam a examinar minuciosamente os padrões de código, o fluxo de controle e o fluxo de dados para detectar as causas subjacentes das falhas de segurança e dos pontos fracos estruturais.

A arquitetura também se baseia em uma configuração de vários agentes, em que agentes especializados lidam com diferentes aspectos de um determinado problema. Por exemplo, uma ferramenta dedicada baseada em modelo de linguagem grande analisa as diferenças entre o código original e as versões modificadas. Isso ajuda o agente principal a confirmar que as alterações propostas não introduzem efeitos colaterais indesejados e permite que ele ajuste sua estratégia conforme necessário.

Em um cenário de exemplo, o CodeMender resolveu uma vulnerabilidade envolvendo um estouro de buffer de heap que foi sinalizado em um relatório de falha. Embora a solução definitiva tenha modificado apenas algumas linhas de código, a causa raiz não ficou imediatamente clara. Ao empregar ferramentas de depuração e pesquisa de código, o agente identificou que o problema real era decorrente do gerenciamento incorreto da pilha de elementos XML (Extensible Markup Language) durante a análise, localizada em uma seção diferente da base de código. Em outro caso, o agente desenvolveu um patch sofisticado para um problema complexo de tempo de vida do objeto, adaptando um sistema de geração de código C personalizado no projeto de destino.

Além de responder a bugs conhecidos, o CodeMender foi desenvolvido para fortalecer proativamente o software contra ataques futuros. A equipe implantou o agente para adicionar anotações -fbounds-safety a partes da libwebp, uma biblioteca de compactação de imagens amplamente utilizada. Essas anotações orientam o compilador a inserir verificações de limites no código, ajudando a evitar que os invasores explorem estouros de buffer para executar códigos arbitrários.

Esse aprimoramento é especialmente relevante, pois um estouro de buffer de heap na libwebp, documentado como CVE-2023-4863, foi explorado anteriormente em um ataque de clique zero no iOS. De acordo com a DeepMind, se essas anotações estivessem em vigor na época, essa vulnerabilidade específica - e a maioria dos outros estouros de buffer nas seções anotadas - teria se tornado inexplorável.

O processo de reparo proativo da IA envolve uma tomada de decisão detalhada. Ao adicionar anotações, ela pode resolver de forma autônoma novos erros de compilação e falhas de teste resultantes de suas próprias modificações. Se a validação descobrir que uma alteração interrompeu a funcionalidade, o agente usará esse feedback para se autocorrigir e tentar uma solução alternativa.

Apesar dos resultados iniciais animadores, o Google DeepMind está agindo com cautela na implantação, priorizando a confiabilidade. Atualmente, cada patch criado pelo CodeMender é revisado por especialistas humanos antes de ser enviado para projetos de código aberto. A equipe está aumentando gradativamente os envios para manter os altos padrões e integrar sistematicamente o feedback da comunidade de código aberto.

No futuro, os pesquisadores planejam se conectar com mantenedores de projetos de código aberto de missão crítica e compartilhar patches gerados pelo CodeMender. Ao incorporar a contribuição da comunidade, eles pretendem lançar o CodeMender como uma ferramenta disponível publicamente para todos os desenvolvedores de software.

Nos próximos meses, a equipe da DeepMind também pretende publicar artigos técnicos e relatórios detalhando sua metodologia e seus resultados. Essa iniciativa representa uma etapa inicial na exploração de como os agentes de IA podem reparar proativamente o código e fortalecer fundamentalmente a segurança do software para todos.

Veja também: Ataque à privacidade da CAMIA revela o que os modelos de IA memorizam

Interessado em saber mais sobre IA e Big Data com especialistas do setor? Participe da AI & Big Data Expo em Amsterdã, Califórnia ou Londres. Esse evento abrangente faz parte da TechEx e acontece junto com outros eventos de tecnologia de ponta, incluindo a Cyber Security Expo. Clique aqui para obter mais informações.

O AI News é fornecido pela TechForge Media. Descubra outros eventos de tecnologia empresarial e webinars futuros aqui.