Il lancio di modelli di AI avanzati ha suscitato una preoccupazione diffusa in merito alle vulnerabilità del codice. Man mano che gli aggressori ottengono l'accesso a nuove funzionalità per generare exploit, i team di sicurezza sono sottoposti a un'enorme pressione temporale per trovare e correggere in modo proattivo le vulnerabilità prima che gli aggressori le sfruttino.
CodeMender è un agente AI per la sicurezza del codice in grado di trovare, verificare e correggere le vulnerabilità profonde nel tuo codebase. CodeMender avvolge un harness ottimizzato intorno a un LLM, utilizzando prompt, competenze e logica di orchestrazione progettati da Google DeepMind per trasformare il modello in un sistema agentico specializzato nella sicurezza del codice.
Come funziona
CodeMender gestisce la scalabilità e la diversità degli ambienti aziendali moderni, in cui il codice si estende a numerosi linguaggi e tipi di sistemi:
- Trova le vulnerabilità eseguendo la scansione del codebase utilizzando un LLM guidato dall'agente, sfruttando strumenti specializzati e l'ingegneria dei prompt per concentrare il modello sui difetti di sicurezza. In alternativa, puoi importare un elenco di vulnerabilità da strumenti di scansione della sicurezza esterni.
- Verifica le vulnerabilità creando il codice e tentando di sfruttare le vulnerabilità trovate per verificare se sono sfruttabili. Ciò consente di dare la priorità alle vulnerabilità confermate e riduce il tasso di falsi positivi.
- Correggi le vulnerabilità generando e testando una patch compatibile con il linguaggio del tuo codebase.
Durante tutte e tre le fasi, puoi fornire il contesto a CodeMender per assicurarti che tenga conto delle sfumature della tua applicazione e del modello di minaccia. Questa combinazione di un LLM con l'imbracatura ottimizzata di CodeMender fornisce risultati di qualità superiore rispetto all'utilizzo di un LLM da solo per trovare e correggere le vulnerabilità.
Architettura di sistema
Dal punto di vista dell'utente, il sistema CodeMender è costituito da due componenti:
- Agente: un sistema multi-agente ospitato che esegue la logica di business e il ragionamento.
- Client: un client in esecuzione sul tuo computer, che funge sia da CLI (per inviare comandi e visualizzare output) sia da daemon (per eseguire comandi per conto dell'agente, con isolamento facoltativo all'interno di una sandbox a livello di processo locale per compilare codice, eseguire test e verificare le vulnerabilità in modo sicuro).