Capital One veröffentlicht Open-Source KI-Tool zur Schwachstellensuche

Das Finanzdienstleistungsunternehmen Capital One hat am Donnerstag VulnHunter vorgestellt, ein Open-Source-KI-Sicherheitswerkzeug. Dieses Werkzeug wurde entwickelt, um Quellcode auf ausnutzbare Schwachstellen zu scannen, Angriffswege aufzuzeigen und gezielte Korrekturen vorzuschlagen, bevor der Code in die Produktion überführt wird.

Das intern entwickelte Werkzeug, das nun unter der Apache 2.0-Lizenz auf GitHub verfügbar ist, stellt einen bedeutenden Versuch eines großen Finanzinstituts dar, offensive KI-Fähigkeiten in eine öffentliche Abwehrressource umzuwandeln. Diese Veröffentlichung erfolgt zu einer Zeit, in der Sicherheitsteams mit einer wachsenden Flut neuer KI-Bedrohungen konfrontiert sind.

VulnHunter unterscheidet sich von herkömmlichen Scannern durch einen "Angreifer-zuerst-Vorwärtsanalyse"-Workflow. Anstatt Code-Muster zu markieren und rückwärts zu suchen, beginnt das Werkzeug an potenziellen Eintrittspunkten wie APIs oder Netzwerknachrichten und arbeitet sich durch die Anwendungslogik vor, um gangbare Angriffspfade zu identifizieren.

Darüber hinaus verfügt das Werkzeug über eine "Falsifizierungs-Engine", die versucht, eigene Erkenntnisse zu widerlegen. Nach der Identifizierung einer potenziellen Schwachstelle sucht diese Engine nach logischen Lücken oder Bedingungen, die einen Angriff verhindern würden. Nur Erkenntnisse, die diesen Prozess überstehen, werden menschlichen Prüfern vorgelegt, zusammen mit einer vollständigen Erklärung des Angriffspfades und einem vorgeschlagenen Code-Fix.

Capital One hat eine Vorgeschichte von Open-Source-Beiträgen, die bis ins Jahr 2014 zurückreicht, und agiert seit 2015 als "Open Source First"-Unternehmen. Die Veröffentlichung von VulnHunter steht im Einklang mit den laufenden Investitionen des Unternehmens in die Sicherheit von Software-Lieferketten und KI-gestützte Abwehr.