Forscher der Stanford University und anderer Institutionen haben CyberForge entwickelt, ein Framework, das eine kritische Engstelle bei der Schulung von auf großen Sprachmodellen (LLM) basierenden Sicherheitsagenten adressiert. Traditionelle Methoden zur Schulung solcher Agenten basieren auf historischen CVE-Daten, was die Skalierbarkeit und Reproduzierbarkeit von Sicherheitstrainingsumgebungen einschränkt. CyberForge löst dieses Problem, indem es verifizierte Schwachstellen dynamisch in authentische C/C++-Projekte injiziert und so einen Korpus mit 1.034 validierten Schwachstellen über 80 Projekte und 63 Schwachstellenkategorien erstellt.
Jede injizierte Schwachstelle durchläuft eine rigorose Validierung, um sicherzustellen, dass sie reproduzierbar und ausführbar ist. Das Framework verlangt, dass der modifizierte Code die Unit-Tests des Projekts besteht und dass der generierte Proof-of-Vulnerability (PoV) nur in der infizierten Version ausgelöst wird, nicht im ursprünglichen Code. Diese Methode stellt sicher, dass die Trainingsdaten reale Bedingungen mit hoher Präzision widerspiegeln.
Der resultierende Korpus wurde genutzt, um Sicherheitsagenten zu verfeinern, was zu deutlichen Verbesserungen in Patch-Reparaturtests führte. Ein Modell mit 31 Milliarden Parametern erreichte 72,7 % Leistung im Vergleich zu 74,0 % seines Lehrers, eine Verbesserung um 1,3 Punkte. Kleinere Modelle zeigten Verbesserungen von bis zu 14,7 Punkten, abhängig von der Konfiguration. Die Ergebnisse generalisierten sich auch auf andere Programmiersprachen im PatchEval-Korpus, was die Robustheit der Methode unterstreicht.
Für digitale Forensiker ist CyberForge besonders relevant, da es die Erstellung hochwertiger, reproduzierbarer Sicherheitstestumgebungen ermöglicht. Dies kann genutzt werden, um Sicherheitstools zu evaluieren und zu verbessern, einschließlich statischer und dynamischer Codeanalyse, sowie um Agenten zu trainieren, die komplexe Schwachstellen in Echtzeit erkennen können. Die Methode könnte auch die Abhängigkeit von manuellen Schwachstellenanalysen verringern, die oft zeitaufwendig und subjektiv sind.
Ein wichtiger Aspekt von CyberForge ist seine Fähigkeit, die 'Edit Locality' zu handhaben – den Unterschied zwischen injiziertem Code und echten CVE-Patches. Durch die Nachahmung realer Patch-Muster reduziert das Framework das Risiko, dass trainierte Agenten sich an synthetische Daten anpassen. Diese Eigenschaft macht die Methode besonders wertvoll für die praktische Anwendung in DFIR und Sicherheitsuntersuchungen.
Die Forscher weisen darauf hin, dass CyberForge nicht auf C/C++ beschränkt ist und auf andere Programmiersprachen und Projekte skaliert werden kann. Der dynamische Validierungsprozess stellt sicher, dass jede injizierte Schwachstelle reproduzierbar ist, was für die Aufrechterhaltung der Zuverlässigkeit der Trainingsdaten entscheidend ist. Diese Skalierbarkeit eröffnet Möglichkeiten für weitere Forschung und Entwicklung im Bereich der automatisierten Schwachstellenerkennung und -behebung.
Für IT-forensische Ermittler und Sicherheitsanalysten bietet CyberForge die Möglichkeit, ihre Tools und Methoden zur Identifizierung und Verwaltung von Schwachstellen in komplexen Codebasen zu verbessern. Durch die Nutzung des generierten Korpus können Praktiker Agenten trainieren, die Schwachstellen erkennen, die zuvor mit herkömmlichen Methoden schwer zu identifizieren waren. Dies könnte zu einer schnelleren Incident-Response und einem geringeren Exploitationsrisiko führen.
Zusammenfassend stellt CyberForge einen Durchbruch bei der Schulung von Sicherheitsagenten dar och Display Aspect Ratio och Display Aspect Ratio (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (PAR) och Display Aspect Ratio och Display Aspect Ratio (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (PAR) och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio och Display Aspect Ratio (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd.") (DAR) för att förhindra att fordon och ansikten förvrängs i bredd."), indem es einen kritischen Mangel an reproduzierbaren Sicherheitstestumgebungen angeht. Für DFIR-Praktiker bietet das Framework eine neue Methode zur Erstellung hochwertiger Trainingsdaten, die sowohl automatisierte als auch manuelle Sicherheitsuntersuchungen verbessern können.
Fazit & Handlungsempfehlungen
- Forensischer Schwerpunkt: Systemprotokolle prüfen, Artefakte analysieren und die Beweiskette sichern.
- Quellenherkunft: Verifizierte technische Analyse basierend auf Berichten von arXiv cs.CR.
- Maßnahme: Relevante Indikatoren (IOCs) aktualisieren und betroffene Systeme prüfen.