آژانس پروژه‌های پژوهشی پیشرفته دفاعی آمریکا (DARPA) شرکت Xint را برای تحقیق در زمینه استفاده از امنیت خودکار اپلیکیشن‌ها مبتنی بر هوش مصنوعی (AI) انتخاب کرده است. هدف از این همکاری، تحلیل عمیق اپلیکیشن‌های پیام‌رسانی است که به صورت داخلی یا خارجی برای وزارت جنگ توسعه یافته و در سطح گسترده مورد استفاده قرار می‌گیرند.
رویکرد Xint در تحلیل امنیت نرم‌افزار
شرکت Xint که از دل مجموعه Theori بیرون آمده، پس از موفقیت در چالش امنیت سایبری هوش مصنوعی (AIxCC) توسط DARPA برگزیده شد. این شرکت اکنون وظیفه تحلیل کد منبع (Source Code) اپلیکیشن‌هایی نظیر Signal و پروژه‌های Open Source را بر عهده دارد. علاوه بر این، Xint با استفاده از سرویس جدید خود، باینری‌های کامپایل شده (Compiled Binaries) را برای ارزیابی ریسک‌های زنجیره تأمین نرم‌افزار (Software Supply Chain) در محیط‌هایی مانند Agentها، نرم‌افزارهای On-premises و سرویس‌های شبکه تحلیل می‌کند.
چالش‌های امنیتی در پیام‌رسان‌ها
اندرو ویسی (Andrew Wesie)، مدیر فناوری Xint، معتقد است اپلیکیشن‌های ارتباطی بسیار حساس هستند زیرا دسترسی Read-only برای یک مهاجم می‌تواند هدف اصلی برنامه را مختل کند. وی اشاره کرد که SDKها و کتابخانه‌های شخص ثالث (Third-party) می‌توانند ریسک‌های پنهانی ایجاد کنند که منجر به نشت اطلاعات حساس مانند موقعیت مکانی یا اطلاعات شناسایی شخصی (PII) شود، بدون اینکه توسعه‌دهنده یا کاربر متوجه این موضوع گردد.
مکانیزم عملیاتی و استفاده از LLM
تکنولوژی Xint با بهره‌گیری از مدل‌های پیشرفته زبان بزرگ (Frontier LLM)، قادر است تمامی کدهای منبع را بررسی کرده و در صورت نیاز، مهندسی معکوس (Reverse Engineering) باینری‌ها را انجام دهد. برای مثال در سیستم‌عامل اندروید، این ابزار نه تنها خود اپلیکیشن، بلکه هسته لینوکس (Linux Kernel) و سایر اجزای اکوسیستم اندروید را که بین اپلیکیشن و هسته قرار دارند، تحلیل می‌کند.
خودکارسازی شناسایی و رفع آسیب‌پذیری
این سیستم با دسترسی به تمامی لایه‌های تحلیل شده، می‌تواند موارد زیر را به صورت خودکار انجام دهد:
- شناسایی و بررسی هرگونه آسیب‌پذیری در کل سطح حمله (Attack Surface).
- دسته‌بندی (Triage) خودکار آسیب‌پذیری‌ها بر اساس میزان دسترسی مهاجم.
- تولید وصله‌های امنیتی (Patches) برای رفع حفره‌هایی که برای مهاجمان مفید هستند.
در حال حاضر Xint این خدمات را به صورت مدل SaaS ارائه می‌دهد تا توسعه‌دهندگان بتوانند پیش از انتشار کد، آن را برای حذف آسیب‌پذیری‌ها اسکن کرده و سپس به‌صورت دوره‌ای برای شناسایی حفره‌های جدید، تحلیل‌های تکمیلی انجام دهند.
