谷歌近日宣佈，其最新開發的 AI 模型 “Big Sleep” 成功在 SQLite 數據庫中發現了一處內存安全漏洞。這一漏洞是一種可被利用的棧緩衝下溢問題，令該代碼在正式發佈前得以修復。Big Sleep 是谷歌 Project Zero 與 DeepMind 的合作成果，被視爲早期 Project Naptime 的升級版。

黑客 泄露

SQLite 作爲一種開源數據庫引擎，這一漏洞可能使攻擊者通過惡意構造的數據庫或 SQL 注入，導致 SQLite 執行崩潰或甚至實現任意代碼執行。具體來說，問題源於一個魔法值 -1意外被用作數組索引，雖然代碼中有 assert （） 來捕獲這一問題，但在發佈版本中，該調試級別的檢查會被移除。

谷歌指出，利用這一漏洞並不簡單，然而更重要的是，這是 AI 首次在真實世界軟件中發現已知漏洞。根據谷歌的說法，傳統的模糊測試（fuzzing）方法未能找到這個問題，但 Big Sleep 的確做到了。經過分析項目源代碼的一系列提交，Big Sleep 在10月初鎖定了這個漏洞，並在同一天內得到了修復。

谷歌在11月1日的公告中表示，這一研究成果在防禦方面有着巨大的潛力。雖然模糊測試已經有了顯著的成效，但谷歌團隊認爲需要一種新方法來幫助開發者發現那些難以通過模糊測試找到的漏洞，他們對 AI 在這方面的能力充滿期待。

在此之前，位於西雅圖的 Protect AI 公司也推出了一款名爲 Vulnhuntr 的開源工具，聲稱可以利用 Anthropic 的 Claude AI 模型在 Python 代碼庫中發現零日漏洞。然而，谷歌團隊強調，這兩個工具的用途不同，Big Sleep 發現的是與內存安全相關的漏洞。

目前，Big Sleep 仍處於研究階段，之前主要在已知漏洞的小型程序上進行測試。此次則是其首次在真實環境下進行實驗。爲了進行測試，研究團隊收集了 SQLite 代碼庫的幾個最新提交，並在分析後，調整了模型的提示內容，最終找到了這個漏洞。

儘管取得了這一成就，谷歌團隊提醒大家，這些結果仍然屬於高度實驗性階段，當前目標特定的模糊測試在發現漏洞方面可能同樣有效。

劃重點:  

🔍 ** 谷歌的 AI 模型 Big Sleep 首次發現 SQLite 內存安全漏洞。**  

🛠️ ** 該漏洞在正式發佈前即被修復，標誌着 AI 在漏洞發現方面的新進展。**  

📊 ** 儘管取得了成果，但谷歌強調目前的結果仍屬實驗性，模糊測試仍然有效。**