L'agent d'intelligence artificielle de Google réécrit automatiquement le code pour corriger les failles de sécurité

Google DeepMind a présenté un nouvel agent d'intelligence artificielle qui identifie et résout de manière autonome les failles de sécurité critiques dans le code des logiciels. Baptisé CodeMender, le système a déjà fourni 72 correctifs de sécurité à de grands projets open-source au cours des six derniers mois.

La détection et la résolution des vulnérabilités restent une tâche notoirement difficile et laborieuse, même avec des techniques automatisées bien établies comme le fuzzing. Les recherches antérieures de Google DeepMind, notamment les initiatives basées sur l'IA telles que Big Sleep et OSS-Fuzz, ont permis de découvrir de nouvelles vulnérabilités de type "zero-day" dans des bases de code bien étudiées. Ce succès pose toutefois un nouveau défi : à mesure que l'IA accélère la découverte de failles, la pression exercée sur les développeurs pour qu'ils les corrigent s'accroît également.

CodeMender a été créé pour remédier à ce déséquilibre croissant. Il s'agit d'un agent d'IA entièrement autonome qui adopte une approche complète de la sécurisation des logiciels. Le système fonctionne à la fois de manière réactive - en corrigeant les vulnérabilités nouvellement identifiées au fur et à mesure de leur apparition - et proactive - en réécrivant le code existant pour éliminer des catégories entières de risques de sécurité avant qu'ils ne puissent être exploités. Les développeurs et les responsables de projets peuvent ainsi consacrer plus de temps à l'élaboration de nouvelles fonctionnalités et à l'amélioration des performances des logiciels.

Le système s'appuie sur les capacités de raisonnement sophistiquées des récents modèles Gemini Deep Think de Google. Cette technologie sous-jacente permet à l'agent de déboguer et de résoudre des problèmes de sécurité complexes avec une grande autonomie. CodeMender est également équipé d'une série d'outils qui lui permettent d'analyser et d'évaluer soigneusement le code avant d'y apporter des modifications. Il intègre en outre une phase de validation pour s'assurer que les correctifs proposés sont exacts et ne créent pas de problèmes inattendus, souvent appelés régressions.

Compte tenu des enjeux importants liés à la sécurité du code, même si les grands modèles de langage évoluent, une seule erreur de codage peut s'avérer extrêmement coûteuse. Le cadre de validation automatisé de CodeMender est donc essentiel. Il vérifie systématiquement que chaque correctif proposé traite la cause sous-jacente de la vulnérabilité, maintient la correction fonctionnelle, ne perturbe pas les tests existants et s'aligne sur les conventions de codage du projet. Seuls les correctifs qui répondent à tous ces critères stricts sont présentés à l'examen humain.

Pour améliorer l'efficacité du système, l'équipe DeepMind a développé de nouvelles techniques pour l'agent d'intelligence artificielle. CodeMender utilise une analyse avancée des programmes, en s'appuyant sur l'analyse statique et dynamique, les tests différentiels, le fuzzing et les solveurs SMT. Ces outils lui permettent d'examiner en profondeur les modèles de code, le flux de contrôle et le flux de données afin de détecter les causes sous-jacentes des failles de sécurité et des faiblesses structurelles.

L'architecture repose également sur une configuration multi-agents, dans laquelle des agents spécialisés traitent différents aspects d'un problème donné. Par exemple, un outil spécialisé basé sur un modèle de langage étendu analyse les différences entre le code original et les versions modifiées. Cela permet à l'agent principal de confirmer que les modifications qu'il propose n'introduisent pas d'effets secondaires indésirables et d'ajuster sa stratégie si nécessaire.

Dans un exemple de scénario, CodeMender a résolu une vulnérabilité impliquant un débordement de la mémoire tampon du tas qui avait été signalé dans un rapport de panne. Bien que la solution finale n'ait modifié que quelques lignes de code, la cause première n'était pas immédiatement claire. En utilisant des outils de débogage et de recherche de code, l'agent a identifié que le problème réel provenait d'une gestion incorrecte de la pile d'éléments XML (Extensible Markup Language) pendant l'analyse, située dans une autre section de la base de code. Dans un autre cas, l'agent a développé un correctif sophistiqué pour un problème complexe de durée de vie d'un objet, en adaptant un système de génération de code C personnalisé au sein du projet cible.

Au-delà de la réponse aux bogues connus, CodeMender est conçu pour renforcer de manière proactive les logiciels contre les attaques futures. L'équipe a déployé l'agent pour ajouter des annotations -fbounds-safety à certaines parties de libwebp, une bibliothèque de compression d'images largement utilisée. Ces annotations guident le compilateur pour qu'il insère des contrôles de limites dans le code, ce qui permet d'empêcher les attaquants d'exploiter les débordements de mémoire tampon pour exécuter un code arbitraire.

Cette amélioration est d'autant plus pertinente qu'un débordement de mémoire tampon dans libwebp, documenté comme CVE-2023-4863, a été précédemment exploité dans une attaque iOS de type "zero-click". Selon DeepMind, si ces annotations avaient été en place à l'époque, cette vulnérabilité spécifique - et la plupart des autres débordements de mémoire tampon dans les sections annotées - aurait été rendue inexploitable.

Le processus de réparation proactive de l'IA implique une prise de décision détaillée. Lorsqu'elle ajoute des annotations, elle peut résoudre de manière autonome les nouvelles erreurs de compilation et les échecs des tests qui résultent de ses propres modifications. Si la validation révèle qu'une modification a perturbé la fonctionnalité, l'agent utilise ce retour d'information pour s'auto-corriger et essayer une autre solution.

Malgré des résultats initiaux encourageants, Google DeepMind procède avec prudence au déploiement, en privilégiant la fiabilité. Actuellement, chaque correctif créé par CodeMender est examiné par des experts humains avant d'être soumis à des projets open-source. L'équipe augmente progressivement les soumissions afin de maintenir des normes élevées et d'intégrer systématiquement les commentaires de la communauté open-source.

À l'avenir, les chercheurs prévoient d'entrer en contact avec les responsables de projets open-source critiques et de partager les correctifs générés par CodeMender. En intégrant les commentaires de la communauté, ils visent à mettre CodeMender à la disposition de tous les développeurs de logiciels en tant qu'outil accessible au public.

Dans les mois à venir, l'équipe de DeepMind a également l'intention de publier des documents techniques et des rapports détaillant sa méthodologie et ses résultats. Cette initiative représente une première étape dans l'exploration de la manière dont les agents d'IA peuvent réparer le code de manière proactive et renforcer fondamentalement la sécurité des logiciels pour tout le monde.

Voir aussi : L'attaque CAMIA contre la vie privée révèle ce que les modèles d'IA mémorisent

Vous souhaitez en savoir plus sur l'IA et le big data auprès d'experts du secteur ? Participez à l'exposition AI & Big Data à Amsterdam, en Californie ou à Londres. Cet événement complet fait partie de TechEx et se déroule parallèlement à d'autres événements technologiques de premier plan, dont le Cyber Security Expo. Cliquez ici pour plus d'informations.

AI News est diffusé par TechForge Media. Découvrez d'autres événements et webinaires à venir dans le domaine des technologies d'entreprise ici.