Czy narzędzie, które podważa własne wnioski, naprawdę ścina fałszywe alarmy?

Capital One wypuściło narzędzie, które szuka dziur w kodzie tak, jak robiłby to napastnik, a potem próbuje samo sobie udowodnić, że się pomyliło. VulnHunter, udostępniony 16 lipca jako open-source na licencji Apache 2.0, to agentowy skaner podatności zbudowany na modelu Claude. Ma rozwiązać najstarszy ból tej kategorii narzędzi: zalew fałszywych alarmów, przez który zespoły bezpieczeństwa spędzają dzień na odsiewaniu szumu zamiast na łataniu realnych luk. Pomysł jest sprytny. Dowody na to, że działa, są na razie wyłącznie słowem firmy. Pisałem o tej premierze tydzień temu, więc tym razem chcę spytać wprost, czy obietnica się broni.

Narzędzie, które kłóci się samo ze sobą

Sercem VulnHuntera jest mechanizm, który robi jedną rzecz: po znalezieniu potencjalnej podatności próbuje obalić własny wniosek. Capital One nazywa go silnikiem falsyfikacji. Uruchamia osobny przebieg rozumowania, którego jedynym zadaniem jest podważyć właśnie postawioną tezę. Szuka założeń, które się nie bronią, luk w ścieżce ataku, warunków, które w praktyce uniemożliwiłyby włamanie. Jeśli którekolwiek z nich zadziała, trafienie ląduje w koszu, zanim w ogóle zobaczy je programista.