„GitHub“ atviro kodo AI agentas rado 24 „Android“ programų pažeidžiamumus

Trumpai: „GitHub Security Lab“ sukūrė atviro kodo „Taskflow Agent“, kuris naudoja pritaikomus AI darbo eigos šablonus kodo saugumo auditui, ir juo rado bei pranešė apie daugiau nei 24 pažeidžiamumus „Android“ programose. Du detalūs pavyzdžiai rodo, kaip agentas atrado vartotojo vietos sekimo spragą „OsmAnd“ navigacijos programoje ir paskyros perėmimo grandinę „Wikipedia“ „Android“ programoje per deeplink nuorodų apdorojimo klaidą. Komanda pastebi, kad LLM gerai randa sudėtingas logines pažeidžiamumų klases ir gerai supranta API elgseną, tačiau sunkiai įvertina tikrą rimtumą ir dažnai generuoja klaidingus teigiamus rezultatus, todėl radiniai vis dar turi būti peržiūrimi žmogaus. Darbo eigos šablonai yra atviro kodo ir gali būti paleisti bet kuriame „GitHub“ saugykloje per „Copilot“ varomą codespace skriptą, tačiau tam reikia premium modelio užklausų ir gali užtrukti kelias valandas.

🤖Šią santrauką automatiškai parengė dirbtinis intelektas pagal „GitHub Security“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.