Firefox: l’intelligenza artificiale individua 423 vulnerabilità nascoste. Next steps

Mozilla ha utilizzato le AI per individuare 423 vulnerabilità nascoste in Firefox, risolvendo problemi di sicurezza che erano presenti da anni all'interno del codice sorgente. L'IA si è integrata con l'infrastruttura di fuzzing di Firefox per identificare bug complessi, mentre si inizia già a pensare a come integrare le AI nelle pipeline di sviluppo

Mozilla ha annunciato i risultati di un nuovo approccio basato sull’intelligenza artificiale per il rilevamento delle vulnerabilità in Firefox. Utilizzando modelli avanzati, tra cui Claude Mythos Preview e Claude Opus, gli sviluppatori hanno individuato e già risolto 423 problemi di sicurezza nascosti.

La differenza principale rispetto ai precedenti audit basati sull’IA è che il sistema non si limitava a generare segnalazioni di attività sospette, ma si integrava nell’infrastruttura di fuzzing già esistente di Firefox.

L’intelligenza artificiale è stata eseguita su diverse macchine virtuali, ha testato ipotesi, ha eliminato risultati non riproducibili e ha creato una prova di concetto per sfruttare bug reali.

Di conseguenza, i modelli sono stati in grado di individuare bug che gli strumenti tradizionali avevano trascurato per anni. Tra gli esempi, un problema risalente a 15 anni fa nell’elemento legenda HTML, una vulnerabilità di 20 anni fa in XSLT, nonché bug nell’elaborazione delle tabelle HTML, in WebAssembly, IndexedDB, WebTransport e HTTPS.

Alcuni dei risultati erano seri: errori Use-After-Free, corruzione della memoria, condizioni di competizione IPC e bypass della sandbox per librerie di terze parti.

In altre parole, l’IA non cercava semplici bug, ma piuttosto catene complesse che richiedono una comprensione del motore del browser.

Tuttavia, Mozilla evidenzia anche un aspetto negativo: i modelli non sono riusciti a eludere alcune delle difese già implementate da Firefox.

Ad esempio, le modifiche architetturali che bloccano i prototipi per impostazione predefinita hanno contribuito a respingere i tentativi di attacco. La risoluzione di questo elevato numero di bug ha richiesto la partecipazione di oltre 100 sviluppatori e revisori. Le patch sono state incluse nei recenti aggiornamenti di Firefox, tra cui le versioni 149.0.2, 150.0.1 e 150.0.2.

Mozilla ora prevede di integrare l’analisi tramite intelligenza artificiale direttamente nel suo sistema di integrazione continua. L’idea è di controllare non solo il codice esistente, ma anche le nuove patch prima del loro rilascio.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research