Учёные создали ИИ-агента для поиска уязвимостей в Android

Учёные создали ИИ-агента для поиска уязвимостей в Android

Учёные создали ИИ-агента для поиска уязвимостей в Android

Учёные из Китая и Австралии представили систему A2 — ИИ-агента, который умеет находить уязвимости в Android-приложениях и даже создавать PoC-эксплойты на лету. По сути, это продолжение их предыдущей разработки A1, ориентированной на смарт-контракты, только теперь фокус на мобильных приложениях.

Авторы исследования — Цзыюэ Ван из Нанкинского университета и Лийи Чжоу из Университета Сиднея — утверждают, что A2 показывает впечатляющие результаты: 78,3% покрытия на тестовом наборе Ghera против 30% у статического анализатора APKHunt.

Более того, при проверке 169 реальных APK-файлов агент нашёл 104 уязвимостей нулевого дня, из которых 57 подтвердил автоматически с помощью PoC-эксплойтов.

Один из примеров — баг в приложении более чем с 10 миллионами установок. Речь идёт об уязвимости типа intent redirect: если приложение не проверяет, куда именно отправляется «интент» (сообщение с запросом действия), злоумышленник может подменить получателя и перехватить управление.

Главное отличие A2 от предыдущих решений в том, что система не просто ищет подозрительные места в коде, а сама же проверяет их на практике. Как поясняет Чжоу, A2 разбивает задачу на этапы — найти ключ, сгенерировать токен, обойти аутентификацию — и на каждом шаге подтверждает результат. Это сильно снижает количество ложных срабатываний, от которых страдают традиционные сканеры.

Любопытно и то, что A2 построен на коммерческих ИИ-моделях вроде OpenAI o3 и Gemini 2.5. Они распределены по ролям: планировщик, исполнитель и валидатор. Такой «оркестр» ИИ позволяет подойти к поиску уязвимостей так, как это сделал бы живой эксперт.

Разработчики уверены: будущее за подобными агентами. Стоимость проверки уязвимости колеблется от менее доллара до нескольких долларов, а потенциальные вознаграждения в программах баг-баунти могут достигать тысяч. Правда, остаётся вопрос: баг-баунти покрывают далеко не все приложения, и часть найденных уязвимостей может оказаться на вооружении злоумышленников.

По словам Чжоу, мы стоим на пороге «взрыва» в этой области: одни будут использовать A2-подобные системы для защиты, другие — для атак. Адам Бойнтон из Jamf добавляет, что ценность A2 именно в том, что он переводит процесс из бесконечного потока «шумных» алертов в доказательную практику, где командам безопасности остаётся разбираться только с реальными рисками.

Код A2 и артефакты пока доступны только исследователям с институциональной аффиляцией — баланс между открытой наукой и ответственным раскрытием.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky Container Security 2.1 научилась проверять ноды оркестраторов

«Лаборатория Касперского» выпустила обновление для своего решения Kaspersky Container Security (версия 2.1). Теперь оно умеет проверять не только контейнеры, но и ноды оркестраторов — то есть хосты, на которых они работают.

Оркестраторы вроде Kubernetes управляют контейнерными приложениями, а их кластеры состоят из нод с собственной ОС.

Как и любая операционная система, они могут содержать уязвимости. Новая функция позволяет сканировать такие узлы, фиксировать найденные дыры и подозрительные процессы, а также вести постоянный мониторинг с помощью встроенного антивирусного модуля. При этом проверка запускается вручную, чтобы не нагружать систему.

В интерфейсе теперь отображаются детали по каждой ноде: версия ОС, дата последнего сканирования, количество и критичность уязвимостей, история запусков потенциально опасных процессов.

Обновление также расширило список поддерживаемых инструментов и платформ. В него вошли, в частности, интеграция с Google Cloud Platform, российскими системами оркестрации Deckhouse и «Штурвал», а также поддержка RedOS для работы нод.

Появилась возможность передавать данные о событиях через вебхуки. Это значит, что система сможет отправлять информацию в любые внешние сервисы, например в средства мониторинга или оповещения, даже если их интеграция напрямую пока не реализована.

Кроме того, компании теперь могут использовать не только встроенные базы угроз, но и подключать свои собственные через API. Это позволит проверять события сразу по нескольким источникам.

Таким образом, продукт получил новые инструменты для мониторинга и анализа контейнерных сред — в том числе на уровне узлов, которые раньше оставались за кадром.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru