با افزایش سرعت کشف آسیب‌پذیتی‌ها توسط هوش مصنوعی، نیاز مبرمی به ابزارهایی وجود دارد که بتوانند فرآیند رفع باگ و وصله‌گذاری (Patching) را با همان سرعت و دقت انجام دهند. شرکت Trail of Bits اخیراً از دو پلاگین جدید به نام‌های patching-bugs و regression-hunt رونمایی کرده است که به مهندسان اجازه می‌دهد توسعه وصله‌ها و بررسی‌های رگرسیون را به عامل‌های هوش مصنوعی (AI agents) واگذار کنند.
معرفی ابزارهای جدید
این دو پلاگین که در قالب ابتکار مشترک Patch the Planet با OpenAI توسعه یافته‌اند، فرآیند مدیریت آسیب‌پذیری را متحول می‌کنند:
- patching-bugs: این پلاگین باگ‌های گزارش شده را بازتولید (Reproduce) کرده، راهکارهای اصلاحی (Fixes) را توسعه می‌دهد و آن‌ها را آزمایش می‌کند.
- regression-hunt: وظیفه این ابزار بررسی این موضوع است که آیا تغییرات جدید باعث از کار افتادن یا تغییر در رفتارهای صحیح و پشتیبانی‌شده قبلی (Regression) شده است یا خیر.
متدولوژی و اصول طراحی
توسعه این ابزارها بر پایه تحلیل هزاران جلسه کدنویسی با استفاده از مدل Codex و بررسی وصله‌های ادغام شده در پروژه‌های متن‌باز (Open-source) صورت گرفته است. چهار اصل اساسی در طراحی این پلاگین‌ها رعایت شده است:
- هدایت هدفمند (Opinionated guidance): ارائه کمترین میزان راهنمایی ممکن به عامل هوش مصنوعی برای رسیدن به بهترین نتیجه.
- گام‌های ماژولار (Modular steps): امکان استفاده از هر بخش از پلاگین به صورت مستقل یا ترکیبی.
- طرح‌های ورودی و خروجی دقیق (Strict schemas): کاهش نوسانات در نتایج و امکان تایید هر مرحله توسط مرحله قبل.
- اثبات مفهوم زنده (Live PoC): هر نتیجه‌گیری باید با یک اجرای اثبات مفهوم (Proof-of-Concept) روی یک نسخه در حال اجرا از پروژه تایید شود.
کاهش نرخ مثبت کاذب (False-Positive)
در ارزیابی‌های اولیه، پلاگین regression-hunt توانسته است نرخ یافته‌های مثبت کاذب را تا ۲۵٪ نسبت به مدل‌های پایه هوش مصنوعی کاهش دهد. این ابزار با ردیابی تغییرات کد (Diff) از طریق فراخوان‌ها (Callers) تا رابط‌های کاربری واقعی، هر مورد مشکوک را در یک محیط زنده بازتولید می‌کند تا از صحت رگرسیون اطمینان حاصل شود.
یکپارچه‌سازی با مدل تهدید (Threat Model)
یکی از ویژگی‌های کلیدی این سیستم، قابلیت دریافت فایل‌های THREAT_MODEL.md و PATCHING_GUIDELINES.md است. این فایل‌ها به عامل‌های هوش مصنوعی کمک می‌کنند تا بدانند چه دارایی‌هایی (Assets) حیاتی هستند، مرزهای اعتماد (Trust boundaries) کجا قرار دارند و استانداردهای پروژه برای نوشتن یک وصله امن چیست. این رویکرد باعث می‌شود که هوش مصنوعی فراتر از یک اصلاح ساده، به دنبال رفع ریشه‌ای آسیب‌پذیری و حفظ قوانین امنیتی پروژه باشد.
