54 із 55 знайдених AI вразливостей SQLite виявилися фейком
Аудит компанії JFrog виявив, що автоматизований пошук за допомогою AI завалив бази вигаданими багами, оголивши брак ручної перевірки в реєстрах вразливостей.
Гучні заяви про ефективний пошук багів за допомогою нейромереж зіткнулися з банальним спамом. Згідно з аудитом компанії з кібербезпеки JFrog, 54 з 55 уразливостей, знайдених штучним інтелектом у коді рушія баз даних SQLite, виявилися фіктивними.
Усі три баги, які подавалися як критичні, не існували в реальності. Єдина дійсна знахідка не мала критичного статусу та супроводжувалася непідтвердженими метаданими. Хоча організація MITRE швидко відхилила всю пачку заявок, записи вже встигли потрапити до Національної бази вразливостей США (NVD).
Зараз ці звіти приховані зі звичайного пошуку NVD, проте залишаються в системі зі статусом «Rejected», наданим організацією, що їх зареєструвала. Безперешкодний пропуск таких записів став наслідком кризи обробки: NIST більше не перевіряє всі нові заявки вручну через величезний наплив — ще у 2024 році черга необроблених CVE перевищила 17 000 одиниць.
Поки інструменти на базі AI масово генерують сирі звіти, централізовані каталоги безпеки вимушено публікують дані без попередньої верифікації людиною.
Джерело: habr
Подробиці: JFrog Research
Коментарі
Допоможи покращити наступну версію: Додавай контекст або пропонуй виправлення. Після AI-перевірки коментарі можуть отримати бали для переписування. Перевірка й оновлення потребують часу; повна шкала не гарантує нової версії.