Vì sao SecureVibes có thể phát hiện lỗ hổng nhanh và chính xác hơn con người?

[Duy Linh]

SecureVibes, hệ thống bảo mật AI tiên tiến, vừa giới thiệu trình quét lỗ hổng toàn diện ứng dụng Claude AI của Anthropic. Công cụ này hỗ trợ phân tích bảo mật thông minh trên 11 ngôn ngữ lập trình, bao gồm Python, JavaScript, TypeScript, Go, Ruby, Java, PHP, C#, Rust, Kotlin và Swift.

Điểm nổi bật của SecureVibes là khả năng phát hiện lỗ hổng tự động bằng kiến trúc đa tác nhân, kết hợp giữa tư duy bảo mật thực tế và phân tích ngữ cảnh cụ thể. Năm tác nhân AI chuyên biệt gồm bốn tác nhân chính và một tác nhân kiểm tra động (DAST) tùy chọn phối hợp xử lý để đưa ra kết quả chi tiết với đường dẫn tệp và số dòng mã chính xác.

Khác với phương pháp quét theo mẫu truyền thống, SecureVibes dựa vào mô hình hóa mối đe dọa thực tiễn. Hệ thống có thể quét hiệu quả các dự án đa ngôn ngữ nhờ cơ chế loại trừ thông minh. Ví dụ, khi quét một dự án Python và TypeScript, công cụ sẽ tự động bỏ qua thư mục môi trường ảo và node_modules, giúp tiết kiệm thời gian và giảm kết quả sai lệch.

Cơ chế quét đa tầng và bảo mật minh bạch​

Quá trình phân tích bảo mật của SecureVibes gồm nhiều giai đoạn. Ban đầu, tác nhân đánh giá phân tích cấu trúc mã nguồn và tạo báo cáo bảo mật. Sau đó, tác nhân mô hình hóa mối đe dọa áp dụng phương pháp STRIDE để xác định nguy cơ tiềm ẩn, trong khi tác nhân đánh giá mã xác thực lỗ hổng đã phát hiện. Cuối cùng, tác nhân tạo báo cáo tổng hợp kết quả toàn diện, và tác nhân DAST tùy chọn có thể xác minh khả năng khai thác bằng yêu cầu HTTP.

SecureVibes cho phép người dùng tùy chỉnh quy trình quét có thể chạy toàn bộ hoặc từng tác nhân riêng lẻ để tối ưu chi phí và thời gian. Giao diện dòng lệnh (CLI) hỗ trợ nhiều định dạng đầu ra như Markdown, JSON và bảng đầu cuối. Ngoài ra, người dùng có thể chọn mô hình AI phù hợp cho từng giai đoạn, từ phân tích sơ bộ đến đánh giá chuyên sâu.

Công cụ sử dụng khóa xác thực Claude CLI hoặc API, hỗ trợ cấu hình linh hoạt qua biến môi trường và cờ CLI. SecureVibes còn cung cấp chế độ phát trực tuyến, hiển thị tiến độ quét và chi phí API theo thời gian thực. Điều này giúp các tổ chức theo dõi và kiểm soát chi phí dễ dàng hơn.

Quan trọng hơn, hệ thống bảo vệ quyền riêng tư của mã nguồn, chỉ truyền đường dẫn tương đối và loại trừ thông tin nhạy cảm như biến môi trường hay siêu dữ liệu git. Người dùng được khuyến nghị xem xét chính sách bảo mật của Anthropic trước khi quét mã độc quyền.

Phiên bản mới nhất 0.3.1 bổ sung tính năng DAST phụ và hỗ trợ đa ngôn ngữ nâng cao, hiện đã có sẵn trên PyPI, phục vụ cả chế độ quét cổ điển và phát trực tuyến cho doanh nghiệp ở nhiều quy mô.

Đọc chi tiết tại đây: https://gbhackers.com/securevibes-introduces-multi-language-vulnerability/

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview