Masterthesis im Bereich Secure Software Engineering

Wir suchen engagierte Studierende, die Interesse an der Erforschung von Sicherheitslücken haben und dabei die modernsten Technologien nutzen möchten. Diese Masterarbeit bewegt sich an der Schnittstelle zwischen KI und Softwaresicherheit.

Klassische Schwachstellenscanner sind sehr gut darin, mögliche Sicherheitslücken in Binärcode zu identifizieren. Dabei können jedoch sowohl falsch-positive als auch irrelevante Ergebnisse auftreten. Letztere sind zwar prinzipiell korrekt, lassen sich jedoch nicht für einen echten Angriff ausnutzen, z.B. weil die entsprechende Schwachstelle Vorbedingungen erfordert, die nie eintreten können. Die große Anzahl an Scanner-Ergebnissen manuell zu prüfen skaliert insbesondere in großer und komplizierter Software schlecht.

Um dieses Problem zu lösen, möchten wir in dieser Arbeit KI nutzen, um Schwachstellen zu verifizieren. Dabei greifen wir auf die detaillierten Daten eines hochwertigen statischen Scanners zurück und nutzen die Fähigkeit großer generativer KI-Modelle, neue Antworten einschließlich (Exploit-)Code zu generieren. Gelingt es, die Schwachstelle auszunutzen, gilt sie als verifiziert und muss vom Entwickler priorisiert behoben werden. Kann sie nicht verifiziert werden, wollen wir mittels interaktiver Prompting-Techniken versuchen, das LLM mit weiteren Informationen zu versorgen, um entweder doch noch einen Exploit zu erhalten oder eine hinreichende Konfidenz in die Nichtausnutzbarkeit der Schwachstelle zu erlangen.

Als KI-Modelle sollen neben GPT-4 auch diverse Open Source-Modelle genutzt werden. Wir stellen dabei die Ressourcen für Experimente mit großen OSS-LLMs bereit. Als Schwachstellenscanner steht unser hauseigener Scanner VUSC zur Verfügung.