La herramienta de caza de errores impulsada por inteligencia artificial de Google ha reportado su primer grupo de vulnerabilidades de seguridad. Heather Adkins, vicepresidenta de seguridad de Google, anunció el lunes que el investigador de vulnerabilidades basado en modelos de lenguaje, llamado Big Sleep, encontró y reportó 20 fallos en varios programas de código abierto populares. Adkins explicó que Big Sleep, desarrollado por el departamento de inteligencia artificial de la compañía DeepMind y su equipo de hackers de élite Project Zero, reportó sus primeras vulnerabilidades, principalmente en software de código abierto como la biblioteca de audio y video FFmpeg y el conjunto de herramientas de edición de imágenes ImageMagick.
Dado que las vulnerabilidades aún no han sido corregidas, no tenemos detalles sobre su impacto o gravedad, ya que Google prefiere no proporcionar información hasta que se solucionen los problemas, lo cual es una política estándar. Sin embargo, el simple hecho de que Big Sleep haya encontrado estas vulnerabilidades es significativo, ya que demuestra que estas herramientas están comenzando a dar resultados reales, aunque en este caso hubo intervención humana. Kimberly Samra, portavoz de Google, comentó que “para asegurar informes de alta calidad y que se puedan utilizar, tenemos un experto humano en el proceso antes de reportar, pero cada vulnerabilidad fue encontrada y reproducida por el agente de IA sin intervención humana”.
Royal Hansen, vicepresidente de ingeniería de Google, escribió en X que estos hallazgos demuestran “una nueva frontera en el descubrimiento automatizado de vulnerabilidades”. Las herramientas impulsadas por modelos de lenguaje que pueden buscar y encontrar vulnerabilidades ya son una realidad. Además de Big Sleep, existen otras como RunSybil y XBOW.
XBOW ha llamado la atención tras alcanzar el primer lugar en una de las clasificaciones de la plataforma de recompensas por errores HackerOne. Es importante destacar que, en la mayoría de los casos, estos informes cuentan con la verificación de un humano en algún momento del proceso para asegurar que el cazador de errores impulsado por IA encontró una vulnerabilidad legítima, como es el caso de Big Sleep. Vlad Ionescu, cofundador y director de tecnología de RunSybil, comentó que Big Sleep es un proyecto “legítimo”, dado que tiene “un buen diseño, las personas detrás saben lo que hacen, Project Zero tiene experiencia en encontrar errores y DeepMind tiene los recursos necesarios”.
Si bien hay mucho potencial en estas herramientas, también existen desventajas significativas. Varias personas que mantienen diferentes proyectos de software han expresado su preocupación por los informes de errores que son, en realidad, ilusiones, describiéndolos como el equivalente a “basura” en el ámbito de las recompensas por errores. “Ese es el problema al que se enfrentan las personas, estamos recibiendo muchas cosas que parecen oro, pero en realidad son solo basura”, comentó Ionescu anteriormente.
