Google DeepMind ha introdotto un nuovo agente di intelligenza artificiale progettato perindividuare e correggere autonomamente vulnerabilità critiche di sicurezza nel codice software. Il sistema, chiamato in modo eloquenteCodeMender, ha già contribuito con72 correzioni di sicurezzaa progetti open-source consolidati negli ultimi sei mesi.
Identificare e risolvere falle di sicurezza è un processo notoriamente complesso e dispendioso in termini di tempo, anche con il supporto di strumenti automatizzati come ilfuzzing. Le ricerche di DeepMind — incluse iniziative comeBig SleepeOSS-Fuzz— hanno dimostrato l’efficacia dell’AI nel rilevare nuove vulnerabilitàzero-dayanche in codici già ampiamente controllati. Tuttavia, questo successo genera un nuovo collo di bottiglia: man mano che l’intelligenza artificiale accelera la scoperta dei difetti, cresce la pressione sugli sviluppatori umani per correggerli.
CodeMendernasce per riequilibrare questo scenario. È un agente AI autonomo che adotta un approccio completo alla sicurezza del codice:
Reattivo, perché può correggere immediatamente le vulnerabilità appena scoperte.
Proattivo, perché riscrive porzioni di codice esistenti eliminando intere classi di difetti prima che possano essere sfruttate.
Questo consente agli sviluppatori di concentrarsi su ciò che conta di più: creare nuove funzionalità e migliorare l’esperienza del software.
Come funziona CodeMender
Il sistema sfrutta le avanzate capacità di ragionamento deimodelli Gemini Deep Thinkdi Google, che gli permettono di diagnosticare e risolvere problemi di sicurezza complessi con un alto grado di autonomia. Prima di applicare qualsiasi modifica, l’agente analizza il codice utilizzando una serie di strumenti dedicati, poi attiva un processo divalidazione automaticaper garantire che le correzioni non introducano nuovi errori (noti comeregressioni).
Gli errori nel codice di sicurezza possono avere conseguenze gravi, perciò la validazione automatica è cruciale. Ogni patch viene verificata per assicurarsi che:
risolva la causa alla radice del problema,
sia funzionalmente corretta,
non comprometta i test esistenti,
rispetti gli standard di stile del progetto.
Solo le correzioni di qualità elevata superano il filtro e vengono sottoposte a revisione umana.
Tecniche e innovazioni
Per potenziare l’efficacia di CodeMender, il team DeepMind ha sviluppato nuove tecniche dianalisi del programmabasate su strumenti avanzati di analisi statica e dinamica,differential testing,fuzzingeSMT solvers. Questi strumenti consentono di individuare schemi di codice problematici, flussi di controllo e di dati per identificare le vere cause delle vulnerabilità.
Il sistema utilizza inoltre un’architettura multi-agente, dove diversi agenti specializzati affrontano aspetti specifici di un problema. Un esempio è un agente di revisione basato su modello linguistico che confronta il codice originale e quello modificato, segnalando eventuali effetti collaterali indesiderati. Questo consente all’agente principale di correggersi autonomamente se necessario.
Esempi pratici
In un caso reale, CodeMender ha risolto una vulnerabilità legata a unheap buffer overflowsegnalato da un crash report. Anche se la patch finale ha richiesto solo poche righe di codice, l’origine del problema — una gestione errata dello stack durante il parsing di elementi XML — era nascosta altrove nel codice. In un altro esempio, l’agente ha creato una patch complessa per risolvere un problema di ciclo di vita degli oggetti, intervenendo su un sistema personalizzato per la generazione di codice C.
Oltre a correggere bug esistenti, CodeMender è progettato perrafforzare il codice in modo preventivo. È stato impiegato, ad esempio, per aggiungere annotazioni-fbounds-safetya parti dilibwebp, una libreria di compressione immagini molto diffusa. Queste annotazioni istruiscono il compilatore ad aggiungere controlli sui limiti del buffer, impedendo agli attaccanti di sfruttare overflow di memoria.
Questo è particolarmente significativo se si pensa che una vulnerabilità di tipoheap buffer overflowin libwebp (CVE-2023-4863) fu usata anni fa in un attaccozero-clickcontro iOS. Secondo DeepMind, se tali annotazioni fossero già state presenti, quella vulnerabilità — e molte simili — sarebbero state inoffensive.
Un sistema che si corregge da solo
Il processo decisionale di CodeMender è sofisticato: quando una modifica causa nuovi errori di compilazione o test, l’agente li rileva, analizza il feedback e tenta autonomamente una soluzione alternativa.
Nonostante i risultati promettenti, DeepMind adotta un approccio prudente. Ogni patch generata viene ancorarevisionata da ricercatori umaniprima di essere inviata ai progetti open-source. L’obiettivo è aumentare progressivamente il numero di contributi, mantenendo alta la qualità e integrando i feedback della comunità.
Prospettive future
Nei prossimi mesi, il team di DeepMind prevede di collaborare direttamente con i manutentori di progetti open-source critici, inviando patch generate da CodeMender e raccogliendo feedback per migliorarne l’efficacia. A lungo termine, l’obiettivo èrilasciare CodeMender come strumento pubblico, a disposizione di tutti gli sviluppatori.
DeepMind pubblicherà inoltre documenti tecnici e report per condividere le proprie metodologie e risultati. Questo progetto rappresenta un primo passo importante verso un futuro in cui gli agenti AI non solo individuano le vulnerabilità, male risolvono in modo autonomo, migliorando la sicurezza del software per tutti.