20 уязвимостей в открытом ПО от агента Google Big Sleep
ИИ-агент Google Big Sleep нашёл 20 ранее неизвестных уязвимостей в популярных проектах с открытым кодом, в основном в FFmpeg и ImageMagick. Подробности уязвимостей пока не раскрыты.
Что сделали
Big Sleep, который сделали Google DeepMind и Project Zero, запустили на популярных проектах с открытым кодом. Агент нашёл 20 ранее неизвестных уязвимостей, в основном в FFmpeg и ImageMagick, и сообщил о них. Как именно работал агент и сколько было ручной проверки, в статье не сказано. Зато там описан более ранний случай с SQLite. Команда Google по анализу угроз видела только признаки того, что уязвимость эксплуатируют, а агент докопался до её первопричины.
Что получилось
Сообщения о 20 уязвимостях отправлены, подробности скрыты по стандартной процедуре раскрытия. О серьёзности этих уязвимостей и о том, исправлены ли они, статья ничего не говорит. Более ранняя уязвимость в SQLite (CVE-2025-6965) получила оценку 7.2 по CVSS.
На что обратить внимание
Подробности 20 уязвимостей пока не опубликованы, проверить их нельзя. В статье также не сказано, сколько сообщений оказались настоящими и сколько ручного разбора понадобилось.
Пояснение
Project Zero это команда Google, которая ищет уязвимости в чужом софте. CVE это общий реестр известных уязвимостей, а CVSS это шкала их серьёзности от 0 до 10. По процедуре ответственного раскрытия детали публикуют после того, как разработчики успеют выпустить исправление.
Кому пригодится
Специалистам по безопасности и мейнтейнерам открытых проектов, которые присматриваются к ИИ-аудиту кода.
Попробуйте сами с Gemini
Склонируй [ссылка на репозиторий с открытым кодом] и проверь код на [язык] на вероятные уязвимости, например ошибки работы с памятью, инъекции, небезопасный разбор входных данных и зашитые в код секреты. Опиши каждую находку в файле с путём к файлу, коротким объяснением и твоей оценкой серьёзности. Не меняй код и не открывай issues или pull requests. Остановись, когда у тебя будет ранжированный список из [число] главных находок.
Нужна помощь с запуском? Вступайте в сообщество AI Pack ↗
Источник: computing.co.uk ·