Forskere fra Stanford University og andre institutioner har udviklet CyberForge, et framework, der adresserer en kritisk flaskehals inden for træning af sikkerhedsagenter baseret på store sprogmodeller (LLM). Traditionelle metoder til træning af sådanne agenter har været afhængige af historiske CVE-data, hvilket begrænser skalerbarheden og reproducerbarheden af sikkerhedstræningsmiljøer. CyberForge løser dette ved dynamisk at injicere verificerede sårbarheder i autentiske C/C++-projekter, hvilket skaber et korpus med 1.034 validerede sårbarheder fordelt over 80 projekter og 63 svaghedskategorier.
Hver injiceret sårbarhed gennemgår streng validering for at sikre, at den er reproducerbar og kørbar. Frameworket kræver, at den modificerede kode består projektets enhedstests, og at det genererede bevis for sårbarhed (PoV) kun udløses i den inficerede version, ikke i den originale kode. Denne metode sikrer, at træningsdataene afspejler reelle forhold med høj præcision.
Det resulterende korpus blev brugt til at finjustere sikkerhedsagenter, hvilket førte til betydelige forbedringer i patch-reparations-tests. En model med 31 milliarder parametre nåede 72,7 % ydeevne sammenlignet med sin lærer på 74,0 %, en forbedring på 1,3 point. Mindre modeller viste forbedringer på op til 14,7 point, afhængigt af konfiguration. Resultaterne generaliserede sig også til andre programmeringssprog i PatchEval-korpusen, hvilket understreger metodens robusthed.
For digitale efterforskere er CyberForge særligt relevant, da det muliggør oprettelsen af højværdige, reproducerbare sikkerhedstestmiljøer. Dette kan anvendes til at evaluere og forbedre sikkerhedsværktøjer, herunder statisk og dynamisk kodeanalyse, samt til at træne agenter, der kan identificere komplekse sårbarheder i realtid. Metoden kan også reducere afhængigheden af manuel sårbarhedsanalyse, som ofte er tidskrævende og subjektiv.
En vigtig egenskab ved CyberForge er evnen til at håndtere 'edit locality' – forskellen mellem injiceret kode og reelle CVE-patcher. Ved at efterligne reelle patchmønstre reducerer frameworket risikoen for, at trænede agenter overtilpasser sig syntetiske data. Denne egenskab gør metoden særligt værdifuld for praktisk anvendelse inden for DFIR og sikkerhedsefterforskning.
Forskerne påpeger, at CyberForge ikke er begrænset til C/C++, men kan skaleres til andre programmeringssprog og projekter. Den dynamiske valideringsproces sikrer, at hver injiceret sårbarhed er reproducerbar, hvilket er afgørende for at opretholde pålideligheden af træningsdataene. Denne skalerbarhed åbner for yderligere forskning og udvikling inden for automatiseret sårbarhedsdetektion og patching.
For IT-forensiske efterforskere og sikkerhedsanalytikere giver CyberForge en mulighed for at forbedre deres værktøjer og metoder til at identificere og håndtere sårbarheder i komplekse kodebaser. Ved at anvende det genererede korpus kan praktikere træne agenter, der kan opdage sårbarheder, som tidligere var vanskelige at identificere med traditionelle metoder. Dette kan føre til hurtigere respons ved hændelser og reduceret risiko for udnyttelse.
Samlet set repræsenterer CyberForge et gennembrud inden for træning af sikkerhedsagenter ved at adressere en kritisk mangel på reproducerbare sikkerhedstestmiljøer. For DFIR-udøvere giver frameworket en ny metode til at skabe højværdige træningsdata, der kan forbedre både automatiserede og manuelle sikkerhedsefterforskninger.
Konklusioner & forslag til handlinger
- Forensisk fokus: Gennemgå systemlogger, undersøg centrale artefakter og verificer beviskæden.
- Kildegrundlag: Verificeret teknisk briefing baseret på rapporter fra arXiv cs.CR.
- Handling: Omedelbar kontroll och säkring av telemetri krävs för att förhindra bevisförlust.