LLM-alapú forráskódalapú sebezhetőségvadászat

Fordítás magyarra…

*Figyelem! Tényleg 18:00-kor fogunk kezdeni, egy órával korábban, mint szoktunk,* Elég egy jó prompt a sérülékenységek felismeréséhez? Mitől lesz jobb egy LLM a kódelemzésben? A mai MI modellek már képesek forráskódot értelmezni, így a biztonsági hibák keresésének legegyszerűbb módja, ha megmutatjuk a kódot egy modellnek, és megkérdezzük, hogy tartalmaz-e sérülékenységet. Ennél azonban többet is tehetünk, például leszűkíthetjük a vizsgált kódot azokra a részekre, amelyeket egy szakértő is megnézne, vagy finomhangolhatjuk a modellt példák alapján. Egy szakértői tudással kiegészített LLM-nek jobban kellene teljesítenie, nem igaz? Csakhogy a sérülékeny kód megkülönböztetése a számtalan különböző formában megjelenő, de valójában biztonságos kódtól egészen más feladatnak tűnik, mint egy sérülékenység megkülönböztetése a saját javított változatától. Az előadásban végigkövetjük ezeket a kérdéseket: megvizsgáljuk, hogy hol segít igazán a szakértői tudás, hol ütközik korlátokba, és miért elengedhetetlen a módszerek korrekt összehasonlítása, mielőtt megbíznánk egy-egy eredményben.