Google heeft maandag een grote impuls gegeven aan door AI aangedreven cyberbeveiliging en heeft drie nieuwe initiatieven aangekondigd om de digitale verdediging te automatiseren.
De belangrijkste tool is CodeMender, een nieuwe AI-agent die zelf softwarefouten opspoort en repareert.
Om hulp te krijgen van de beveiligingsgemeenschap, heeft Google ook startte een nieuw AI-bugbountyprogramma met beloningen tot $ 30.000. Deze inspanningen maken deel uit van de strategie van Google om AI te gebruiken om cyberdreigingen te bestrijden. Het bedrijf brengt ook een bijgewerkt Secure AI Framework uit.
Deze stap duidt op een aanzienlijke escalatie in het gebruik van AI voor defensieve doeleinden. Het bouwt voort op het eerdere werk van Google met tools als Big Sleep, een AI die onlangs een exploit in de echte wereld heeft voorkomen.
De onderliggende strategie is het creëren van een beslissend voordeel voor verdedigers.
CodeMender: een AI-agent voor autonome verdediging
Het middelpunt van de aankondiging is CodeMender, een autonome agent die is ontworpen om softwarekwetsbaarheden te patchen.
Aangedreven door Google’s geavanceerde Gemini Deep Think-modellen, kan hij door complexe code redeneren om beveiliging te identificeren en op te lossen fouten.
CodeMender werkt zowel reactief, door nieuwe bugs te patchen, als proactief, door code te herschrijven om hele klassen van kwetsbaarheden te elimineren.
Het proces omvat een diepgaande analyse van de hoofdoorzaken en een uniek zelfvalidatiesysteem waarbij gebruik wordt gemaakt van gespecialiseerde’kritische’agenten om oplossingen te beoordelen.
Tijdens de ontwikkeling heeft de agent al 72 beveiligingsoplossingen ingediend bij open-source projecten.
In één opmerkelijk geval werden beveiligingsannotaties toegepast op de libwebp-bibliotheek, een oplossing die een zero-click iOS-exploit vanaf 2023 had kunnen voorkomen.
Een nieuwe bugbounty om AI-beveiligingsonderzoek te stimuleren
Om zijn interne inspanningen te versterken, lanceert Google een speciaal AI Vulnerability Reward Program (VRP).
Het programma is bedoeld om de wereldwijde veiligheidsonderzoeksgemeenschap te stimuleren om grote impactfouten in zijn AI-producten te vinden en te rapporteren, met topbeloningen die oplopen tot $ 30.000.
De nieuwe VRP consolideert en verduidelijkt de regels voor het melden van AI-gerelateerde problemen. Het omvat expliciet beveiligingslekken zoals snelle injecties en gegevensexfiltratie.
Het sluit echter problemen uit die verband houden met het genereren van schadelijke inhoud, die Google gebruikers vraagt te melden via feedbacktools in het product.
Dit formaliseert een inspanning die betaalde onderzoekers al meer dan $ 430.000 voor AI-gerelateerde bugs. Hoewel het programma een welkome stap is, suggereren sommige critici dat de maximale uitbetaling te laag zou kunnen zijn om eliteonderzoekers aan te trekken voor de meest complexe AI-kwetsbaarheden.
Bouwen aan een proactief AI-defensie-ecosysteem
Het derde onderdeel van de aankondiging van Google is de release van zijn Secure AI Framework (SAIF) 2.0.
Deze bijgewerkte versie biedt nieuwe richtlijnen voor het beheersen van de risico’s die worden veroorzaakt door steeds autonomere AI-agenten, een groeiende zorg in de hele sector.
Deze initiatieven zijn een direct antwoord op de toenemende stroom van AI-gestuurde cyberaanvallen. Zoals bedrijven als NTT DATA hebben opgemerkt, hebben traditionele beveiligingstools moeite om gelijke tred te houden.
Sheetal Mehta van NTT DATA stelde eerder dat “gefragmenteerde beveiligingstools de hedendaagse geautomatiseerde aanvallen niet kunnen bijhouden.”
De strategie van Google is om voort te bouwen op de successen van eerdere AI-beveiligingsprojecten. De Big Sleep-agent is bijvoorbeeld geëvolueerd van de ontdekking van de eerste bug in SQLite eind 2024 naar het proactief neutraliseren van een kritieke dreiging voordat deze medio 2025 kon worden uitgebuit.
Door open source-frameworks zoals SAIF en de ontwikkeling van autonome tools zoals CodeMender wil Google niet alleen zijn eigen producten beveiligen, maar ook het bredere software-ecosysteem.
Deze alomvattende aanpak onderstreept het langetermijnengagement van het bedrijf om de balans op het gebied van cyberbeveiliging te laten doorslaan ten gunste van verdedigers.
