- คีย์โน้ตในงานประชุม OffensiveCon โดย Perri Adams ที่ปรึกษาด้านเทคโนโลยี AI และความมั่นคงไซเบอร์ของหน่วยงาน DARPA สหรัฐฯ
- ขณะนี้ AI ถูกนำมาใช้กับการพัฒนา exploit และงานด้านการทำระบบอัตโนมัติสำหรับช่องโหว่มากขึ้นเรื่อย ๆ
- มีการวิเคราะห์กรณีจริงของช่องโหว่ double free แบบ pre-auth ใน OpenSSH เพื่อสำรวจว่า AI สามารถถูกนำมาใช้กับการพัฒนา exploit ได้อย่างไร
- AI ที่อิงกับ โมเดลภาษาขนาดใหญ่ (LLM) ช่วยได้ในบางงานย่อย เช่น การทำความเข้าใจ heap grooming แต่ยังไม่เพียงพอสำหรับการสร้าง exploit ทั้งชุดแบบอัตโนมัติ
- การผสาน ระบบผู้เชี่ยวชาญ (เช่น symbolic engine) เข้ากับ AI กำลังก่อให้เกิดความก้าวหน้าที่จับต้องได้
- แม้ AI จะยังไม่มาแทนที่มนุษย์ในระยะสั้น แต่คาดว่าจะมีบทบาทมากขึ้นในฐานะ เครื่องมือช่วย และช่วยให้งานบางส่วนเป็นอัตโนมัติได้
บทนำ
- ปาฐกถาหลักของงาน OffensiveCon: อนาคตของ AI และการพัฒนา exploit
- วิทยากร Ms. Perri Adams เป็นผู้ช่วยพิเศษของผู้อำนวยการ DARPA และที่ปรึกษาด้านเทคโนโลยี AI และความมั่นคงไซเบอร์
- เป็นอดีตทีมงานจัดการแข่งขัน DEF CON CTF และผู้เข้าแข่งขันด้านแฮ็กกิง
- อธิบายบริบทที่ในวงการความปลอดภัยมีการพูดถึงเรื่อง 'ระบบอัตโนมัติ' และ 'การประยุกต์ใช้ AI' อย่างคึกคักมาก
- เนื้อหาถูกเล่าบนพื้นฐานของประสบการณ์จาก DARPA อุตสาหกรรมหลากหลายแห่ง และการเข้าร่วม CTF (ชื่อเต็ม: Capture the Flag)
กรณีจริง: ช่องโหว่ double free แบบ pre-auth ใน OpenSSH และ AI
- ในเดือนกุมภาพันธ์ 2023 Qualys ได้รายงาน ช่องโหว่ double free ของ OpenSSH ในสภาพแวดล้อม pre-auth ไปยัง OSS-SEC ML
- อธิบายว่าเป็นช่องโหว่ที่ซับซ้อนและจะถูก trigger ได้เฉพาะในค่าตั้งค่าและเงื่อนไขบางอย่างเท่านั้น
- โครงสร้างของช่องโหว่นี้ทำให้การพัฒนา exploit ยากมาก เนื่องจากมีทั้ง โค้ด C ที่ซับซ้อน, process separation, การเรียกใช้ฟังก์ชันหลายรูปแบบ และปัญหา backward compatibility
- วิเคราะห์ว่ามีพื้นที่ให้เล่นหลายจุด ทั้งโครงสร้าง heap (เช่น tcash ของ Glibc, unsorted bin), แพ็กเกตก่อนยืนยันตัวตน (การจัดการลิสต์แบบกำหนดเอง), OpenSSL และ function pointer
- มีการสำรวจความเป็นไปได้ในการจัดการ heap (grooming) เพื่อทำให้เกิด use-after-free และในทางทฤษฎีอาจเขียนทับ function pointer ได้
การนำเครื่องมือ AI มาใช้จริง
- มีการใช้ AI กลุ่ม LLM เช่น ChatGPT (3.5, 4.0), Claude เพื่อพยายามวิเคราะห์ช่องโหว่นี้
- AI แสดงประสิทธิภาพที่มีความหมายในบางงานย่อย เช่น การจัดระเบียบ/สรุปโครงสร้างพื้นฐานของช่องโหว่และกระบวนการจัดสรร heap
- อย่างไรก็ตาม ยังพบข้อจำกัดในการสร้างโค้ด exploit ทั้งหมดแบบอัตโนมัติ, การจัดการ heap ที่ซับซ้อน และการตีความ flow ภายในของ OpenSSL
- AI บางตัวนำเสนอ PoC (Proof of Concept) ที่ไม่สมจริงหรือไม่ถูกต้องอย่างมั่นใจ หรือปฏิเสธการสร้างโค้ดด้วยเหตุผลด้านจริยธรรม
- ในทางกลับกัน AI มีประโยชน์เชิงป้องกันอย่างเป็นรูปธรรมมากกว่าในงานอย่าง การเสนอการแก้ไขโค้ด/แพตช์ และการสรุปจุดเสี่ยง
การผสาน AI กับระบบผู้เชี่ยวชาญ (symbolic framework)
- เมื่อเทียบกับ AI แบบ LLM เดี่ยว ๆ โครงสร้างที่ผสานกับ ระบบผู้เชี่ยวชาญอย่าง Lean proof engine แสดงผลลัพธ์ที่ดีกว่าในโจทย์อย่างคณิตศาสตร์โอลิมปิก
- ในปัญหาที่มีรูปแบบชัดเจนอย่าง IMO ระบบ AI-symbolic สามารถทำหน้าที่ด้านรางวัลและการตรวจสอบความถูกต้องเพื่อยกระดับประสิทธิภาพได้
- งานด้านการทำ exploit อัตโนมัติก็กำลังก้าวหน้าจากการผสาน AI เข้ากับ เครื่องมือวิเคราะห์อย่าง CodeQL, IDA, Binary Ninja เช่นกัน
งานวิจัยด้าน exploit automation และความเป็นจริง
- นับตั้งแต่การแข่งขันสร้าง exploit อัตโนมัติอย่าง DARPA Cyber Grand Challenge งานวิจัยได้สร้างความก้าวหน้าที่มีนัยสำคัญในสภาพแวดล้อมที่ลดความซับซ้อนลง
- งานวิจัยหลักจำนวนมากแบ่งปัญหาออกเป็นส่วนย่อย และเสนอทั้ง เทมเพลต exploit รวมถึงเทคนิคอัตโนมัติตามเป้าหมายและตามประเภทช่องโหว่
- เมื่อเทียบกับเครื่องมืออัตโนมัติแบบครอบจักรวาล การผสม ซับอัลกอริทึมที่ออกแบบเฉพาะสำหรับประเภทช่องโหว่/เป้าหมายบางอย่าง ใกล้เคียงกับผลลัพธ์ใช้งานจริงมากกว่า
- LLM ยังมีบทบาทหนักไปทางการเป็น "ผู้ช่วยที่กระตือรือร้น"—คือช่วยผู้เชี่ยวชาญมากกว่าจะเข้ามาแทนงานของผู้เชี่ยวชาญโดยตรง
บทสรุปและแนวโน้ม
- การคาดการณ์ว่า AI จะ ทำให้การพัฒนา exploit ทั้งหมดเป็นอัตโนมัติอย่างสมบูรณ์ในเร็ว ๆ นี้ ยังมีส่วนที่เกินจริงอยู่มาก
- แนวทางที่มีประสิทธิภาพที่สุดคือการทำ การพัฒนา exploit ด้วยตนเอง ควบคู่กับการใช้ AI ช่วยงานย่อย เช่น การจัดระเบียบข้อมูล การแก้ไขโค้ด และการทดสอบซ้ำ
- ความก้าวหน้าของระบบอัตโนมัติมักตามหลังความคิดสร้างสรรค์ของมนุษย์อยู่ระดับหนึ่ง และ AI ก็ยังยากที่จะปรับตัวตามความซับซ้อนและความเปลี่ยนแปลงของช่องโหว่จริงได้ทั้งหมด
- ต่อจากนี้ แนวทางสำคัญที่จะเติบโตคือกึ่งอัตโนมัติที่อาศัย ชั้น abstraction/ระบบผู้เชี่ยวชาญเดิมร่วมกับ AI รวมถึงระบบอัตโนมัติที่มุ่งเฉพาะประเภทช่องโหว่บางแบบ
- คาดว่าจะมีคุณค่าและกรณีใช้งานจริงเพิ่มขึ้นอย่างรวดเร็วในด้าน reverse engineering, application security และ pentesting
ยังไม่มีความคิดเห็น