AI自动挖洞不是梦，谷歌AI工具OSS-FASZ又发现26个开源漏洞
内容提要
谷歌的OSS-Fuzz工具利用人工智能在26个开源代码库中发现了漏洞，包括OpenSSL中的中度漏洞（CVE-2024-9143），可能导致应用崩溃或远程代码执行。该漏洞已在多个版本中修复。谷歌通过大型语言模型提高模糊测试覆盖率，发现了长期未被人类发现的漏洞，并在C++项目中引入安全检查，提升了代码安全性和可靠性。
关键要点
-
谷歌的OSS-Fuzz工具利用人工智能发现了26个开源代码库中的漏洞。
-
OpenSSL中的中度漏洞CVE-2024-9143可能导致应用崩溃或远程代码执行，已在多个版本中修复。
-
谷歌通过大型语言模型提高模糊测试覆盖率，发现了长期未被人类发现的漏洞。
-
AI生成的模糊测试目标提高了272个C/C++项目的代码覆盖率，新增了超过370,000行新代码。
-
代码覆盖率无法保证函数没有漏洞，AI辅助的漏洞发现允许更多的自动化。
-
谷歌正在将代码库转换为内存安全语言Rust，并对现有C++项目进行改造。
-
hardened libc++引入了一系列安全检查，降低了C++代码的空间安全漏洞风险。
-
hardened libc++通过边界检查确保对std::vector和std::optional的安全访问，提升了代码的安全性和可靠性。
延伸解读
AI在漏洞发现中的应用
谷歌的OSS-Fuzz工具利用人工智能技术，成功发现了长期未被人类识别的漏洞。这一进展表明，AI在自动化漏洞检测中的潜力巨大，能够提高代码安全性，尤其是在复杂的开源项目中。开发者应关注AI工具的应用，以提升自身项目的安全防护能力。
C++代码安全性的提升
谷歌通过引入hardened libc++和内存安全语言Rust，显著降低了C++代码中的空间安全漏洞风险。这些改进虽然不能完全消除所有安全隐患，但为开发者提供了更可靠的工具，帮助他们在编写代码时减少潜在的安全问题。
模糊测试的局限性
尽管代码覆盖率的提高有助于发现更多漏洞，但仅依赖覆盖率并不能保证代码的绝对安全。不同的配置和标志可能导致不同的行为，开发者在使用模糊测试时应结合其他安全措施，以全面评估代码的安全性。
延伸问答
谷歌的OSS-Fuzz工具是如何发现漏洞的？
谷歌的OSS-Fuzz工具利用人工智能生成和增强的模糊测试目标，识别了26个开源代码库中的漏洞。
CVE-2024-9143漏洞的影响是什么？
CVE-2024-9143是一个中度漏洞，可能导致应用程序崩溃或远程代码执行。
谷歌如何提高模糊测试的覆盖率？
谷歌通过引入大型语言模型（LLM）来提高OSS-Fuzz中的模糊测试覆盖率，发现了长期未被人类发现的漏洞。
谷歌在C++项目中采取了哪些安全措施？
谷歌对现有C++项目进行了改造，引入了hardened libc++，增加了边界检查以降低空间安全漏洞的风险。
hardened libc++的主要功能是什么？
hardened libc++通过为标准C++数据结构添加边界检查，防止越界访问和未初始化内存的访问。
谷歌将代码库转换为Rust的原因是什么？
谷歌希望通过将代码库转换为内存安全语言Rust，来提高代码的安全性和可靠性。
