LLM-es forráskódalapú sebezhetőségvadászat

Figyelem! Tényleg 18:00-kor fogunk kezdeni, egy órával korábban, mint szoktunk. Nem lesz pizza, nem lesz kóla.

Elég egy jó prompt a sérülékenységek felismeréséhez? Mitől lesz jobb egy LLM a kódelemzésben?
A mai MI modellek már képesek forráskódot értelmezni, így a biztonsági hibák keresésének legegyszerűbb módja, ha megmutatjuk a kódot egy modellnek, és megkérdezzük, hogy tartalmaz-e sérülékenységet. Ennél azonban többet is tehetünk, például leszűkíthetjük a vizsgált kódot azokra a részekre, amelyeket egy szakértő is megnézne, vagy finomhangolhatjuk a modellt példák alapján. Egy szakértői tudással kiegészített LLM-nek jobban kellene teljesítenie, nem igaz?
Csakhogy a sérülékeny kód megkülönböztetése a számtalan különböző formában megjelenő, de valójában biztonságos kódtól egészen más feladatnak tűnik, mint egy sérülékenység megkülönböztetése a saját javított változatától.
Az előadásban végigkövetjük ezeket a kérdéseket: megvizsgáljuk, hogy hol segít igazán a szakértői tudás, hol ütközik korlátokba, és miért elengedhetetlen a módszerek korrekt összehasonlítása, mielőtt megbíznánk egy-egy eredményben.