- I nomi dei pacchetti software generati dall'IA, integrati involontariamente dagli sviluppatori, comportano rischi significativi per la sicurezza.
- L'inclusione accidentale da parte di Alibaba di un pacchetto falso evidenzia i pericoli del seguire ciecamente i consigli dell'IA.
- La vigilanza e la diligenza sono fondamentali per prevenire lo sfruttamento dell'IA nello sviluppo software a fini malevoli.
L'esperto di sicurezza Bar Lanyado ha recentemente condotto ricerche su come i modelli di IA generativa contribuiscano involontariamente a enormi potenziali minacce alla sicurezza nel mondo dello sviluppo software. Tali ricerche di Lanyado hanno evidenziato una tendenza allarmante: l'IA suggerisce pacchetti di software immaginari e gli sviluppatori, senza nemmeno esserne consapevoli, li includono nei loro codebase.
Il Problema Svelato
Il problema è che la soluzione generata presentava un nome fittizio – qualcosa di tipico dell'IA. Tuttavia, questi nomi di pacchetti fittizi vengono poi suggeriti con sicurezza agli sviluppatori che faticano a programmare con i modelli IA. Infatti, alcuni nomi di pacchetti inventati sono stati parzialmente basati su persone reali – come Lanyado – e alcuni sono stati trasformati in pacchetti reali. Ciò ha portato, a sua volta, all'inclusione accidentale di codice potenzialmente dannoso all'interno di progetti software reali e legittimi.
Una delle aziende colpite da questo impatto è stata Alibaba, uno dei principali attori del settore tecnologico. All'interno delle istruzioni di installazione per GraphTranslator, Lanyado ha scoperto che Alibaba aveva incluso un pacchetto chiamato "huggingface-cli" che era stato falsificato. In realtà, esisteva un pacchetto reale con lo stesso nome ospitato su Python Package Index (PyPI), ma la guida di Alibaba faceva riferimento a quello creato da Lanyado.
Testare la Persistenza
La ricerca di Lanyado mirava a valutare la longevità e il potenziale sfruttamento di questi nomi di pacchetti generati dall'IA. A tal fine, LQuery ha sottoposto diversi modelli IA a sfide di programmazione e tra linguaggi diversi, per comprendere se, effettivamente, in modo sistematico, quei nomi fittizi venissero raccomandati. È chiaro in questo esperimento che esiste il rischio che entità malevole possano sfruttare i nomi di pacchetti generati dall'IA per la distribuzione di software dannoso.
Questi risultati hanno profonde implicazioni. Gli attori malevoli potrebbero sfruttare la fiducia accecata che gli sviluppatori ripongono nelle raccomandazioni ricevute, iniziando a pubblicare pacchetti dannosi sotto false identità. Con i modelli IA, il rischio aumenta con raccomandazioni IA coerenti per nomi di pacchetti inventati, che verrebbero inclusi come malware da sviluppatori ignari. **La Via da Seguire**
Pertanto, man mano che l'IA si integra ulteriormente nello sviluppo software, potrebbe sorgere la necessità di risolvere le vulnerabilità se collegate a raccomandazioni generate dall'IA. In tali casi, deve essere praticata la dovuta diligenza affinché i pacchetti software suggeriti per l'integrazione siano legittimi. Inoltre, la piattaforma che ospita il repository del software dovrebbe verificare e essere sufficientemente robusta da impedire la distribuzione di codice di qualità malevola.
L'intersezione tra intelligenza artificiale e sviluppo software ha rivelato una preoccupante minaccia alla sicurezza. Inoltre, il modello IA potrebbe portare alla raccomandazione accidentale di pacchetti software falsi, il che rappresenta un grande rischio per l'integrità dei progetti software. Il fatto che nelle sue istruzioni Alibaba abbia incluso un pacchetto che non avrebbe mai dovuto esserci è una prova tangibile di come le possibilità possano effettivamente verificarsi quando le persone seguono ciecamente le raccomandazioni
fornite dall'IA. In futuro, sarà necessaria vigilanza e misure proattive per prevenire l'abuso dell'IA nello sviluppo software.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Glory Kaburu
Glory è una giornalista estremamente competente, esperta di strumenti AI e ricerca. È appassionata di intelligenza artificiale e ha scritto diversi articoli sull'argomento. Si tiene aggiornata sugli ultimi sviluppi nell'intelligenza artificiale, nel machine learning e nel deep learning, scrivendone regolarmente.
