เมื่อเร็วๆ นี้ Sangfor AI ประสบความสำเร็จอย่างโดดเด่นใน CyberGym ซึ่งเป็นมาตรฐานระดับนานาชาติสำหรับการประเมินความสามารถด้านความปลอดภัยของ AI โดย Sangfor AI สามารถเอาชนะความท้าทายด้านช่องโหว่ที่ยากมากทั้งหมด ซึ่งประกอบด้วย ARVO และ OSS-Fuzz และสามารถแก้ปัญหาได้สำเร็จ 1,301 จาก 1,507 งาน คิดเป็นอัตราความสำเร็จโดยรวม 86.3% ในการประเมินนี้ Sangfor AI ได้แข่งขันกับโมเดลและเอเจนต์จาก AI ชั้นนำระดับโลก เช่น OpenAI, Anthropic และ Meta และในที่สุดก็ติดอันดับหนึ่งในสี่ของโลก
CyberGym เป็นมาตรฐานการประเมินความปลอดภัยของ AI ที่ก้าวข้ามการทดสอบแบบคงที่หรือเชิงทฤษฎีขนาดเล็กแบบดั้งเดิม โดยมุ่งเน้นไปที่ความท้าทายที่ซับซ้อนในโลกแห่งความเป็นจริง ครอบคลุมโครงการซอฟต์แวร์โอเพนซอร์สกระแสหลักมากมาย และช่องโหว่ในอดีตที่ยากมาก (เช่น ARVO และ OSS-Fuzz) CyberGym ทดสอบความสามารถของโมเดลขนาดใหญ่และเอเจนต์ด้านความปลอดภัยในการให้เหตุผล การจำลองช่องโหว่ และการตรวจสอบ PoC ในฐานรหัสขนาดใหญ่ บริบทที่ซับซ้อน และสภาพแวดล้อมการโจมตีหลายขั้นตอน ด้วยความสอดคล้องอย่างใกล้ชิดกับสถานการณ์การป้องกันทางอุตสาหกรรมในโลกแห่งความเป็นจริงและมาตรฐานการตรวจสอบที่เข้มงวด CyberGym จึงได้รับการยกย่องว่าเป็นหนึ่งในสนามทดสอบที่มีชื่อเสียงและน่าเชื่อถือที่สุดในระดับโลกสำหรับการประเมินความสามารถในการปฏิบัติงานจริงของโมเดลความปลอดภัยของโค้ด
สถาปัตยกรรมเบื้องหลัง 86.3%: การทำงานร่วมกันของกลุ่มเอเจนต์
การวิจัยช่องโหว่ไม่ใช่เพียงแค่การวิเคราะห์โค้ดหรือการสร้าง PoC เพียงครั้งเดียว แต่เป็นกระบวนการวิจัยที่ประกอบด้วยการสร้างสมมติฐานอย่างต่อเนื่อง การรวบรวมหลักฐาน การกำจัดเส้นทางที่ไม่ถูกต้อง และการสรุปผลสุดท้ายภายใต้เงื่อนไขของข้อมูลที่ไม่สมบูรณ์ ในขณะที่แบบจำลองเดียวสามารถทำการให้เหตุผลเฉพาะจุดได้ แต่การจัดการกับการสำรวจระยะยาว สมมติฐานคู่ขนาน และการตรวจสอบอย่างเข้มงวดอย่างมีเสถียรภาพนั้น จำเป็นต้องมีกลไกของระบบที่สามารถจัดระเบียบ เก็บรักษา และจำกัดความสามารถเหล่านี้ได้ เพื่อรับมือกับความท้าทายนี้ แทนที่จะพึ่งพาการเรียงลำดับความน่าจะเป็นแบบง่ายๆ Sangfor AI ได้บุกเบิกสถาปัตยกรรมความร่วมมือ "Agent Swarm" และนำกลไก "การกำกับดูแลหลักฐาน" ที่เข้มงวดมาใช้ ซึ่งทำให้มั่นใจได้ว่าทุกขั้นตอนของการตรวจสอบช่องโหว่จะมีความชัดเจนและน่าเชื่อถือ
- การสำรวจ: ฝูงเอเจนต์ขยายขอบเขตการค้นหาโดยการเปิดการตรวจสอบที่เป็นอิสระและมีขอบเขตชัดเจนเกี่ยวกับสมมติฐานด้านความปลอดภัยที่แตกต่างกัน ซึ่งช่วยให้สามารถตรวจสอบคำอธิบายที่เสริมกันได้ในเวลาเดียวกันโดยไม่เกิดการปนเปื้อน ทำให้มั่นใจได้ว่าสมมติฐานที่ไม่มีหลักฐานสนับสนุนจะไม่กลายเป็นข้อสมมติฐานร่วมกันโดยปริยาย
- หลักฐาน: การสืบสวนจะประสานงานกันโดยอาศัยหลักฐานมากกว่าประวัติการสนทนาทั้งหมด ทั้งข้อสังเกตที่ได้รับการยืนยันและเส้นทางที่พิสูจน์แล้วว่าไม่ถูกต้องยังคงมีอยู่ ซึ่งหมายความว่าหลักฐานจะคงอยู่ตลอดการสืบสวนแต่ละรอบ ทำให้ไม่จำเป็นต้องค้นพบเส้นทางที่ผิดพลาดซ้ำอีก
- การตัดสิน: ผู้ประสานงานจะใช้หลักฐานที่เปลี่ยนแปลงไปนี้เพื่อพิจารณาว่าสมมติฐานใดที่ยังคงใช้ได้ คำถามใดที่ยังไม่ได้รับการแก้ไข และควรมีการตรวจสอบเพิ่มเติมในส่วนใดบ้าง ดังนั้น รอบต่อๆ ไปจึงเป็นการลดขอบเขตการค้นหาโดยอาศัยหลักฐานเป็นแนวทาง
- การตรวจสอบ: ระบบจะสร้างข้อมูลป้อนเข้าที่เป็นไปได้และส่งให้ผู้เชี่ยวชาญตรวจสอบก็ต่อเมื่อมีหลักฐานสนับสนุนกลยุทธ์การกระตุ้นที่ชัดเจนเท่านั้น การตรวจสอบนี้จะท้าทายทั้งความสามารถในการทำซ้ำของความล้มเหลวที่สังเกตได้และความสัมพันธ์กับช่องโหว่ที่กำหนดไว้ ข้อมูลป้อนเข้าที่ถูกปฏิเสธสามารถนำไปใช้เพื่อเปลี่ยนทิศทางการตรวจสอบ เปลี่ยนการตัดสินเชิงลบให้เป็นข้อจำกัดในขั้นตอนการค้นหาถัดไป มีเพียงข้อมูลป้อนเข้าที่ผ่านการตรวจสอบอย่างเข้มงวดนี้เท่านั้นที่จะกลายเป็นข้อเรียกร้องด้านความปลอดภัยขั้นสุดท้ายของระบบ
ดังที่เน้นย้ำในการออกแบบทางเทคนิคของทีมงานโครงการ: "สมมติฐานช่วยขยายขอบเขตการค้นหา หลักฐานเป็นตัวกำหนดข้อกล่าวอ้าง" กลไกนี้ช่วยให้ระบบสามารถสำรวจสมมติฐานหลายๆ ข้อได้อย่างกว้างขวาง ในขณะเดียวกันก็รักษาเกณฑ์หลักฐานที่เข้มงวดอย่างยิ่งก่อนที่จะสรุปผล ในที่สุด แนวทางนี้ก็ประสบความสำเร็จในอัตรา 87.2% ในงาน ARVO อัตราความสำเร็จ 77.7% ในงาน OSS-Fuzz และอัตราความสำเร็จโดยรวมตามมาตรฐานอยู่ที่ 86.3%
การบูรณาการนวัตกรรมเข้ากับการพัฒนาองค์กร
ด้วยความก้าวหน้าอย่างรวดเร็วของ AI ผู้โจมตีจึงใช้ประโยชน์จากเทคโนโลยีเหล่านี้เพื่อลดอุปสรรคในการวิเคราะห์และโจมตีช่องโหว่ลงอย่างมาก ทำให้ระยะเวลาตั้งแต่การค้นพบข้อบกพร่องไปจนถึงการโจมตีในวงกว้างสั้นลง สำหรับองค์กรต่างๆ การระบุ ตรวจสอบ และแก้ไขช่องโหว่ก่อนที่ฝ่ายตรงข้ามจะทำได้นั้นเป็นสิ่งสำคัญยิ่ง ดังนั้น SAST (Static Application Security Testing) แบบดั้งเดิมที่อาศัยการจับคู่กฎจึงต้องพัฒนาอย่างรวดเร็วไปสู่เอเจนต์ด้านความปลอดภัยที่มีความสามารถในการใช้เหตุผลอย่างอิสระ การทำความเข้าใจโค้ด การวิเคราะห์ตรรกะทางธุรกิจ และการตรวจสอบช่องโหว่ เอเจนต์ด้านความปลอดภัยใหม่เหล่านี้ไม่เพียงแต่ต้องระบุช่องโหว่ทั่วไปอย่างแม่นยำ เช่น การโจมตีแบบ SQL injection และการเรียกใช้คำสั่ง แต่ยังต้องเข้าใจเวิร์กโฟลว์ทางธุรกิจที่ซับซ้อนอย่างลึกซึ้งเพื่อค้นหาปัญหาที่มีความเสี่ยงสูง เช่น การควบคุมการเข้าถึงที่ผิดพลาดและการหลีกเลี่ยงการตรวจสอบสิทธิ์ ซึ่งเครื่องมือแบบดั้งเดิมไม่สามารถครอบคลุมได้ ในขณะเดียวกัน การใช้โมเดลขนาดใหญ่เพื่อให้เกิดความก้าวหน้าในระบบรักษาความปลอดภัยการพัฒนาที่ขับเคลื่อนด้วย AI เป็นกุญแจสำคัญในการรักษาความเป็นผู้นำด้านความปลอดภัยของโค้ด
การจัดอันดับบนกระดานผู้นำของ CyberGym ไม่ได้เป็นเพียงแค่การวัดผลความสำเร็จที่โดดเด่นเท่านั้น แต่ยังแสดงให้เห็นถึงความสามารถเชิงปฏิบัติของ AI Security Agent ในสถานการณ์จริงด้านความปลอดภัยของโค้ดระดับองค์กร Sangfor AI กำลังเสริมศักยภาพให้กับผลิตภัณฑ์ทั้งหมดของตน โดยผสานรวมเข้ากับวงจรการพัฒนาขององค์กรอย่างลึกซึ้ง และมอบมูลค่าที่เปลี่ยนแปลงไปอย่างแท้จริงให้กับผู้ใช้
- การเพิ่มประสิทธิภาพการตรวจจับช่องโหว่: เอาชนะข้อจำกัดของ SAST แบบดั้งเดิมได้อย่างมีประสิทธิภาพ โดยการระบุข้อบกพร่องในตรรกะทางธุรกิจ การยกระดับสิทธิ์ และการหลีกเลี่ยงการตรวจสอบสิทธิ์อย่างครอบคลุม ซึ่งจะช่วยขยายขอบเขตความปลอดภัยของโค้ดได้อย่างมาก
- ลดต้นทุนการตรวจสอบด้วยตนเอง: การใช้ AI เพื่อทำให้กระบวนการต่างๆ เป็นไปโดยอัตโนมัติ เช่น การทำความเข้าใจโค้ด การวิเคราะห์ความสัมพันธ์ระหว่างไฟล์ การวิเคราะห์เส้นทางการโจมตี และการตรวจสอบความเสี่ยง ซึ่งจะช่วยลดภาระงานด้วยตนเองของผู้เชี่ยวชาญด้านความปลอดภัยได้อย่างมาก
- ลดโอกาสเกิดผลลัพธ์ที่ผิดพลาดและเพิ่มประสิทธิภาพ: การใช้เหตุผลหลายขั้นตอนและกลไกการตรวจสอบหลักฐานที่เข้มงวดจะช่วยลดอัตราผลลัพธ์ที่ผิดพลาด ทำให้ผู้พัฒนาสามารถมุ่งเน้นไปที่ความเสี่ยงที่จำเป็นต้องได้รับการแก้ไขอย่างแท้จริง และหลีกเลี่ยงการแก้ไขที่ไม่ได้ผล
- ลดระยะเวลาในการส่งมอบงานพัฒนา: ย้ายการทดสอบความปลอดภัยไปไว้ในขั้นตอนการเขียนโค้ดและไปป์ไลน์ CI/CD เพื่อให้ได้ "การตรวจสอบอัตโนมัติเมื่อมีการส่งโค้ด" ซึ่งจะช่วยลดต้นทุนการแก้ไขงานในขั้นตอนสุดท้ายและเร่งการนำไปใช้งานทางธุรกิจ
- ยกระดับสถานะความปลอดภัยโดยรวมขององค์กร: ช่วยให้องค์กรสร้างระบบป้องกันความปลอดภัยที่แข็งแกร่งยิ่งขึ้นตั้งแต่ช่วงเริ่มต้นกระบวนการพัฒนา ลดความเสี่ยงด้านการปฏิบัติตามกฎระเบียบและความเสี่ยงทางการเงินที่เกิดจากการรั่วไหลของข้อมูลและการหยุดชะงักทางธุรกิจ พร้อมทั้งปกป้องการดำเนินงานดิจิทัล
สำหรับผู้ใช้งานระดับองค์กร คุณค่าหลักของ AI Security Agent นั้นก้าวไปไกลกว่าแค่ "การค้นหาบั๊กมากขึ้น" แต่เป็นการยกระดับประสิทธิภาพในการพัฒนาและเพิ่มความปลอดภัยของโค้ดไปพร้อมกัน ด้วยความแม่นยำที่สูงขึ้น ลดภาระงานด้วยตนเอง และตอบสนองได้รวดเร็วยิ่งขึ้น
ผลงานอันโดดเด่นนี้ ในฐานะหนึ่งในโซลูชันด้านความปลอดภัย AI ชั้นนำของจีน ในการประเมินของ CyberGym ถือเป็นก้าวสำคัญสำหรับ Sangfor AI บนเส้นทางสู่ความปลอดภัยของโค้ดอัจฉริยะ ต่อไป เราจะยังคงบุกเบิกนวัตกรรมในเทคโนโลยีความปลอดภัยสำหรับโมเดลขนาดใหญ่ เปลี่ยนความสามารถล้ำสมัยให้เป็นผลผลิตที่ใช้งานได้จริงสำหรับสถานการณ์ทางธุรกิจขององค์กร และทำให้การเปลี่ยนแปลงทางดิจิทัลง่ายขึ้นและปลอดภัยยิ่งขึ้นสำหรับผู้ใช้ทุกคน
