Девять месяцев поисков уязвимостей удалось сократить до 90 часов с помощью общедоступного ИИ. Исследователи Forescout проверили сетевой код промышленных и «умных» устройств и обнаружили десятки ранее неизвестных ошибок. Специализированные модели не понадобились.
Команда Vedere Labs исследовала десять реализаций стека TCP/IP, который отвечает за сетевое взаимодействие оборудования. Семь уже изучали в рамках проекта Memoria, ещё три добавили впервые. Всего специалисты подтвердили 99 уязвимостей, включая 66 новых. Более половины новых находок, 52%, получили высокий или критический уровень опасности.
В эксперименте участвовали открытые компоненты Contiki, FNET, PicoTCP, Nucleus NET, wolfIP, lwIP и Ethernut, а также три закрытых сетевых стека. Подобный код встраивают в устройства интернета вещей и промышленное оборудование. Ошибка в общей библиотеке способна затронуть сразу несколько продуктов, но не каждое устройство доступно для атаки.
Вместо просьбы к нейросети «найти баги» специалисты построили цепочку проверок. Инструменты Semgrep и Joern с 32 правилами статического анализа отбирали подозрительные участки исходного кода, а Ghidra помогала разбирать программы без исходников. Модели Claude изучали возможные ошибки и предлагали гипотезы, которые затем проверяли исследователи.
На самостоятельный анализ ИИ ушло около десяти часов, ещё 80 часов заняла проверка результатов людьми. Авторы оценивают сопоставимую ручную работу примерно в девять месяцев. Статический анализ обошёлся в $935, в среднем в $2,58 за найденную потенциальную проблему. Общие расходы на модели оцениваются в $1200–2300, а не $935 за весь проект.
Система повторно обнаружила 33 известные уязвимости, около 40% известных ранее проблем. Примерно половина новых ошибок связана с повреждением памяти, 27% с целочисленными операциями, 16% с проверкой входных данных. Анализ закрытых программ оказался примерно вдвое медленнее и в шесть раз дороже, чем работа с исходным кодом.
Из 66 новых уязвимостей разработчикам передали сведения о 54. К моменту публикации 24 ошибки исправили, 29 ещё изучали, а сопровождающий Ethernut не ответил. Исследователи выделили семь проблем в сетевом стеке неподдерживаемой точки доступа Wi-Fi, включая жёстко заданные учётные данные администратора. Для устаревшего оборудования патчи могут вообще не появиться.
В исследовании Forescout подчёркивается, что ИИ не заменил экспертов, а ускорил рутинные этапы поиска. Результаты не доказывают, что злоумышленники уже используют выявленные ошибки. Дешёвый анализ помогает защитникам и потенциальным атакующим быстрее искать слабые места.
Для операторов критической инфраструктуры главный вопрос теперь не только в скорости выхода исправлений. Нужно знать, какие сетевые компоненты работают внутри устройств, ограничивать доступ к ненужным службам и изолировать оборудование без поддержки. Ранее Forescout уже обнаруживала подобные проблемы в сетевых стеках миллионов устройств.
