Alors que le volume d'informations numériques dans les réseaux d'entreprise continue de croître, augmente ainsi le nombre de cyberattaques, et leur coût. Un fournisseur de cybersécurité, Réseaux de genévrier, estime que le coût des violations de données dans le monde atteindra 2 100 milliards de dollars en 2019, environ quatre fois le coût des violations en 2015.

Maintenant, deux informaticiens de l'Université de Boston, travailler avec les chercheurs de Draper, une société de solutions d'ingénierie à but non lucratif située à Cambridge, ont développé un outil qui pourrait rendre plus difficile pour les pirates de trouver leur chemin dans des réseaux auxquels ils n'appartiennent pas.

Peter Chin, professeur-chercheur en informatique et affilié au Rafik B. Hariri Institute for Computing and Computational Science &Engineering, et Jacob Harer, un doctorat de quatrième année. étudiant en informatique, travaillé avec les chercheurs de Draper pour développer une technologie qui peut analyser les systèmes logiciels pour les types de vulnérabilités qui sont souvent utilisées par les cybercriminels pour entrer. L'outil, qui a utilisé l'apprentissage en profondeur pour former des réseaux de neurones afin d'identifier des modèles qui indiquent des failles logicielles, peut scanner des millions de lignes de code en quelques secondes, et aura un jour la capacité de corriger les erreurs de codage qu'il détecte.

Chin dit l'idée du projet, appelé DeepCode et financé par le programme MUSE de la DARPA (Defense Advanced Research Projects Agency) et l'Air Force Research Laboratory, est venu le voir il y a quatre ans alors qu'il donnait une conférence à sa classe d'apprentissage automatique (CS 542). Chin décrivait la percée des scientifiques de Google et de l'Université de Stanford, qui a utilisé l'apprentissage en profondeur pour apprendre à un réseau de neurones à repérer des modèles communs dans des millions d'images et à utiliser les modèles pour identifier les chats dans les vidéos YouTube. Il s'est demandé si un réseau similaire pourrait exploiter les mégadonnées des programmes open source et trouver des modèles qui indiquent les vulnérabilités des logiciels.

Chin savait qu'il était possible de représenter visuellement un logiciel, comme un graphe de flux de contrôle. Il savait aussi qu'il y avait une bibliothèque de plus de 10, 000 erreurs de codage courantes, appelé CWE (Common Weakness Enumerations), qui avait été mis en place par le National Institute of Standards and Technology (NIST). Si ces erreurs de codage courantes dans le CWE du NIST pouvaient être présentées sous forme d'image, il raisonnait, un réseau de neurones pourrait éventuellement être formé sur eux pour trouver des modèles communs de vulnérabilités, tout comme le réseau de neurones de Stanford a appris à identifier les caractéristiques communes des chats.

Avec cette inspiration initiale, Menton, qui était à l'époque un scientifique en chef des systèmes de décision à Draper ainsi qu'un professeur à BU, aidé à obtenir un financement pour le projet de la DARPA. Il, Harer (un Draper Fellow à BU), et ses collègues de Draper ont commencé à tester ses hypothèses sur des programmes informatiques basés sur des fonctions open source C et C++.

Depuis le démarrage du projet en 2014, les chercheurs ont réalisé qu'ils avaient besoin de plus qu'une simple image du graphique du flux de contrôle pour repérer les vulnérabilités. Ils ont depuis amélioré leurs techniques, ajouter des fonctionnalités supplémentaires, comme une représentation analysée pour un code similaire à celui utilisé par les compilateurs modernes, et ils ont adopté des réseaux couramment utilisés pour le traitement du langage naturel. Leurs recherches, ce qui, selon Chin, illustre la promesse de tels partenariats université/industrie, est maintenant décrit dans deux articles, "Détection automatisée des vulnérabilités dans le code source à l'aide de l'apprentissage par représentation approfondie, " qui a été accepté à IEEE ICMLA 2018, et « Apprendre à réparer les vulnérabilités logicielles avec des réseaux génératifs d'adversaires, " qui a été acceptée au NIPS 2018.

Chin dit que la deuxième fonction de DeepCode, corriger les erreurs de codage, est toujours un projet de travail. "C'est très difficile, ", dit-il. "Corriger un mauvais logiciel, c'est un peu comme corriger une mauvaise grammaire. Quelqu'un pourrait dire « Je suis allé au marché » alors qu'il aurait dû dire « Je suis allé au marché ». Vous entraînez le réseau à identifier le modèle erroné et à le remplacer par le modèle approprié. C'est du moins l'idée de base."

Harer dit qu'un problème est que les chercheurs n'en savent pas assez sur la façon dont les machines reconnaissent les vulnérabilités. "Ces modèles de réseaux de neurones sont en grande partie des modèles de boîte noire, " dit-il. " Ils sont formés sur d'énormes quantités de données et nous espérons en quelque sorte qu'ils pourront comprendre ce qui se passe. C'est un problème avec l'apprentissage en profondeur en général."

Menton, Harer, et les chercheurs de Draper continueront à travailler sur DeepCode, et envisagez de proposer une version déployable sur un ordinateur portable et envoyée aux entreprises, dont la plupart sont réticents à partager leur code avec des tiers, même pour un examen qui pourrait leur faire économiser des dizaines de millions de dollars.