Google-ийн AI Chrome хөтчид 13 жил нуугдсан алдааг илрүүлж, 1,000 гаруй цоорхойг автоматаар нөхлөө
Програм хангамжийн аюулгүй байдлын салбарт томоохон эргэлт гарлаа. Google компани өөрсдийн Chrome хөтчийн аюулгүй байдлыг хангах үйл явцад зориулан хөгжүүлсэн тусгай хиймэл оюуны (AI) агентуудыг нэвтрүүлснээр сүүлийн хоёрхон хувилбарын (Chrome 149 ба Chrome 150) турш нийт 1,072 аюулгүй байдлын эмзэг байдлыг (security bugs) амжилттай илрүүлж, нөхвөр (patch) хийснээ мэдээлэв.
Энэхүү тоо нь Chrome-ийн өмнөх 23 хувилбарын нийлбэр засвараас ч давсан үзүүлэлт бөгөөд хамгийн онцлох нь Chromium-ийн кодод 13 жилийн турш нуугдсан ноцтой цоорхойг AI илрүүлж чадсан явдал юм.
"Life of a Bug": Код шалгахаас бүрэн автомат патч хүртэл
Google-ийн инженерүүдийн хувьд AI-ийг зөвхөн код бичих туслах төдийхнөөр ашиглахаа больжээ. Тэд аюулгүй байдлын алдааг илрүүлэхээс авахуулаад засаж дуусах хүртэлх бүх циклийг хамарсан "Life of a Bug" автоматжуулсан дамжлагыг бүтээсэн байна.
Уламжлалт хөгжүүлэлтийн явцад аюулгүй байдлын ганцхан тайланг хүлээн авч, ангилан (triage) шалгахад хүний инженерээс 5-аас 30 минут, заримдаа хэдэн өдөр шаардагддаг байв. Харин Google-ийн шинэ архитектур нь дараах 4 үе шатыг бүрэн автоматаар гүйцэтгэж байна:
- Хиймэл дуу чимээг шүүх (Noise Filtering): Ирсэн олон мянган алдааны мэдэгдлээс бодит цоорхойг ялган авна.
- Автомат Triage ба Анализ: Том хэлний загварууд (LLM) тухайн эмзэг байдлын цар хүрээ, нөлөөллийг шинжилж, дарааллыг тогтооно.
- Патчийн хувилбар боловсруулах (Candidate Patches): Модель зөвхөн алдааг заагаад зогсохгүй, тухайн алдааг засах бэлэн кодын шийдлийг (patch) автоматаар бичнэ.
- Олон платформ дээр автомат тест хийх: Бэлтгэсэн засвар нь Windows, macOS, Linux, Android зэрэг олон төрлийн орчинд бусад хэсгийг эвдэхгүй байгааг AI агентууд тест ажиллуулан баталгаажуулна.
Энэхүү бүх шат дамжлагыг AI бэлдэж дууссаны дараа хүний үндсэн инженер зөвхөн эцсийн үр дүнг хянаж (code review), батлах (merge) товч дарахад л хангалттай болжээ.
[Алдаа / Эмзэг байдал]
↓
[LLM Triage & Root Cause Analysis]
↓
[AI Candidate Patch Generation]
↓
[Multi-platform Automated Testing]
↓
[Хүний инженер: Code Review & Merge]
13 жилийн турш дарагдсан кодын алдааг хэрхэн илрүүлэв?
Chromium төсөл бол сая сая мөр C++ кодоос бүрдсэн, дэлхийн хамгийн нүсэр, нарийн төвөгтэй системүүдийн нэг юм. Олон жилийн явцад хуримтлагдсан legacy кодууд, санах ойн менежмент (memory safety) болон логик холбоосуудын дунд үүссэн эмзэг цэгүүдийг статик код шинжлэгч (linter) эсвэл хүний нүдээр олж харах туйлын төвөгтэй байдаг.
Google-ийн хөгжүүлсэн нарийн мэргэшсэн аюулгүй байдлын моделууд нь кодын бүтэц, гүйцэтгэх логикийг ухаалгаар нэгтгэн дүгнэж (deep semantic analysis), 13 жилийн турш хэний ч анзаараагүй байсан санах ойн логик зөрчлийг илрүүлж чадсан байна.
Энэ нь AI нь зөвхөн шинээр код үйлдвэрлэх бус, олон жил хуримтлагдсан том хэмжээний системийн "техникийн өр" (technical debt) болон далд эрсдэлийг цэвэрлэхэд хамгийн хүчирхэг зэвсэг болж байгааг баталлаа.
Хөгжүүлэгчид болон багуудад энэ нь юуг илэрхийлж байна вэ?
Энэхүү үйл явдал нь програм хангамжийн инженерчлэлийн ирээдүйд хэд хэдэн чухал дохиог өгч байна:
- Reviewer буюу Хянагчийн үүрэг давамгайлна: Програмистуудын өдөр тутмын ажил код тэгээс нь бичихээс илүүтэй, AI-ийн бэлтгэсэн тест, логик патчуудын зөв эсэхийг баталгаажуулах архитекторын түвшин рүү шилжиж байна.
- Zero-day хамгаалалтын хурд өснө: Халдлага үйлдэгчид AI ашиглан цоорхой хайх болсон энэ цаг үед хамгаалагч тал (defenders) засварын ажлыг уламжлалт аргаар бус, ийм төрлийн автоном системээр л амжиж гүйцэтгэх боломжтой болж байна.
- Тест автоматжуулалтын үнэ цэнэ: AI патч үр дүнтэй ажиллах үндэс нь түүнийг турших найдвартай CI/CD болон автомат тестийн дэд бүтэц юм.
Google энэхүү AI-д суурилсан аюулгүй байдлын дамжлагыг улам бүр өргөжүүлж, цаашид бусад нээлттэй эхийн бүтээгдэхүүнүүддээ нэвтрүүлэхээр ажиллаж байна.
Эх сурвалж: Google Chrome Security Team Update / TechRadar Pro
Сэтгэгдэл
Ачаалж байна...