- Pidato utama di konferensi OffensiveCon oleh Perri Adams, penasihat teknis AI dan keamanan siber untuk Defense Advanced Research Projects Agency (DARPA) AS
- AI semakin banyak diterapkan pada pengembangan exploit dan otomatisasi kerentanan
- Melalui analisis kasus nyata kerentanan double free pre-auth di OpenSSH, dibahas bagaimana AI dapat dimanfaatkan dalam pengembangan exploit
- AI berbasis large language model (LLM) membantu pada sebagian subtugas (misalnya memahami heap grooming), tetapi masih kurang mampu menghasilkan exploit lengkap secara otomatis
- Kombinasi sistem pakar (misalnya symbolic engine) dan AI mulai membawa kemajuan yang nyata
- AI tidak akan menggantikan manusia dalam waktu dekat, tetapi perannya sebagai alat bantu diperkirakan akan meluas dan berkontribusi pada otomatisasi di bagian-bagian tertentu
Pendahuluan
- Pidato pembukaan konferensi OffensiveCon: masa depan AI dan pengembangan exploit
- Pembicara, Ms. Perri Adams, adalah asisten khusus direktur DARPA dan penasihat teknis AI serta keamanan siber
- Peserta kompetisi peretasan yang pernah menjadi bagian dari staf penyelenggara DEF CON CTF
- Menjelaskan konteks bahwa diskusi tentang 'otomatisasi' dan 'pemanfaatan AI' sangat aktif berlangsung di bidang keamanan
- Uraian dibangun berdasarkan pengalaman di DARPA dan berbagai industri, serta pengalaman mengikuti CTF (Capture the Flag)
Kasus nyata: kerentanan double free pre-auth OpenSSH dan AI
- Pada Februari 2023, Qualys melaporkan kerentanan double free pada lingkungan pre-auth OpenSSH ke OSS-SEC ML
- Dijelaskan bahwa ini adalah kerentanan kompleks yang hanya terpicu dalam konfigurasi dan kondisi tertentu
- Kerentanan ini sangat sulit dieksploitasi karena melibatkan kode C yang kompleks, process separation, berbagai pemanggilan fungsi, serta masalah backward compatibility
- Dianalisis adanya berbagai area eksplorasi seperti struktur heap (Glibc tcash, unsorted bin, dan lain-lain), paket pra-otentikasi (manipulasi daftar kustom), OpenSSL, dan function pointer
- Secara nyata, dibahas kemungkinan memanipulasi heap (grooming) untuk memicu use-after-free, dan secara teoretis menimpa function pointer
Penerapan nyata alat AI
- Upaya analisis kerentanan dilakukan dengan memanfaatkan AI keluarga LLM seperti ChatGPT (3.5, 4.0) dan Claude
- AI menunjukkan kinerja yang bermakna pada beberapa subtugas, seperti merapikan/meringkas struktur dasar kerentanan dan proses alokasi heap
- Namun, batasan tetap terlihat dalam pembuatan otomatis seluruh kode exploit, manipulasi heap yang kompleks, dan penafsiran alur internal OpenSSL
- Beberapa AI dengan percaya diri menyajikan PoC (Proof of Concept) yang tidak realistis atau tidak akurat, atau menolak menghasilkan kode karena alasan etika
- Sebaliknya, AI justru memberi efek bantu defensif yang nyata dalam usulan modifikasi/patch kode dan peringkasan area berisiko
Kombinasi AI dan sistem pakar (framework simbolik)
- Dibanding AI berbasis LLM tunggal, struktur yang dikombinasikan dengan sistem pakar seperti Lean proof engine menunjukkan hasil yang lebih baik pada soal seperti olimpiade matematika
- Pada masalah dengan format yang tertata baik seperti IMO, sistem AI-simbolik dapat menjalankan peran penghargaan dan verifikasi sehingga performa bisa meningkat
- Otomatisasi exploit juga terus maju lewat kombinasi AI dengan alat analisis seperti CodeQL, IDA, dan Binary Ninja
Riset otomatisasi exploit dan realitas di lapangan
- Sejak ajang seperti DARPA Cyber Grand Challenge untuk pembuatan exploit otomatis, riset telah membuat kemajuan berarti di lingkungan dengan kompleksitas yang diturunkan
- Riset-riset utama memecah masalah menjadi bagian-bagian kecil dan mengusulkan template exploit serta teknik otomatisasi spesifik per target/jenis kerentanan
- Dibanding alat otomatisasi serbaguna, kombinasi subalgoritme yang dioptimalkan untuk tipe kerentanan atau target tertentu lebih mendekati hasil nyata
- LLM masih kuat pada peran sebagai "asisten yang antusias"—lebih dekat sebagai pendukung pekerjaan pakar daripada pengganti langsung
Kesimpulan dan prospek
- Perkiraan bahwa AI akan segera mengotomatiskan sepenuhnya seluruh pengembangan exploit masih banyak dibesar-besarkan
- Pendekatan paling efektif adalah menggabungkan pengembangan exploit secara langsung dengan AI sebagai bantuan untuk subtugas (misalnya perapian informasi, modifikasi kode, dan pengujian berulang)
- Kemajuan otomatisasi tetap mengikuti kreativitas manusia sampai batas tertentu, dan AI masih sulit beradaptasi sepenuhnya dengan kompleksitas serta perubahan pada kerentanan nyata
- Ke depan, area pertumbuhan utama diperkirakan adalah semi-otomatisasi dengan memanfaatkan kombinasi lapisan abstraksi/sistem pakar yang ada dengan AI, serta otomatisasi yang fokus pada jenis kerentanan tertentu
- Reverse engineering, keamanan aplikasi, dan pentesting diperkirakan akan melihat peningkatan cepat dalam nilai praktis dan kasus penerapan
Belum ada komentar.