Fuzzilli vs BigSleep: JavaScript Motorlarında Güvenlik Açığı Avcılığı

Google Project Zero, Chrome'un JavaScript motoru V8'de güvenlik açığı bulmak için kullandığı iki farklı aracı karşılaştırdı: Fuzzilli (geleneksel fuzzer) ve BigSleep (yapay zeka tabanlı sistem). Sonuçlar ilginç çıktı.

Son altı ayda BigSleep 45, Fuzzilli ise 37 güvenlik açığı buldu. İlk bakışta yapay zeka öne görünüyor ama hikaye daha karmaşık. Bulunan açıkların yüzde 25'i her iki araç tarafından da keşfedildi; bu da demek oluyor ki her araç kendi başına başka açıklar bulabiliyor. Daha detaylı testlerde bu örtüşme oranı yüzde 60'a çıktı, yani hala önemli bir bölümü sadece biri ya da diğeri yakalayabiliyor.

Bu fark neden önemli? Çünkü ikisinin çalışma mantığı tamamen farklı. Fuzzilli rastgele ve yapılandırılmış JavaScript kodu üretip motora sokuyor, V8'in çökmesini ya da beklenmedik davranış göstermesini bekliyor. BigSleep ise büyük dil modelleri kullanarak, yazılımın yapısını 'anlayarak' daha hedefli kodlar yazıyor. Bir çekiçle çiviyi rastgele vuruyorsun diğer tarafta, öteki tarafta çekicin tam nereye vurması gerektiğini biliyorsun.

Geliştiriciler için pratik sonuç şu: eğer V8 gibi karmaşık bir motoru güvenli tutmak istiyorsan, sadece fuzzing ya da sadece yapay zeka yeterli değil. Her ikisini de çalıştırman gerekiyor. Fuzzer hızlı, güvenilir ve tahmin edilebilir; yapay zeka ise insan gibi düşünüp daha yaratıcı saldırılar tasarlayabiliyor. Bir açığı bulabilecek olan araç, diğerinin kaçırabileceği başka bir açığı kaçırabilir.

Bu bulgu, yapay zeka güvenlik araştırmasında gerçekten faydalı hale geldiğini gösteriyor ama aynı zamanda eski yöntemlerin hala vazgeçilmez olduğunu hatırlatıyor. İkisini birlikte kullanmak, tek başına kullanmaktan çok daha etkili.