Come i motori di ricerca possono aiutare a trovare le vulnerabilità più pericolose?

Nel mondo della sicurezza informatica, gli esperti devono scegliere dove concentrare le loro energie: il panorama degli attacchi è enorme e il tempo è limitato. Un nuovo approccio, chiamato SiftRank, trasforma questa sfida in un problema di ricerca d'informazione, simile a quello che usiamo per trovare risultati su Google.

SiftRank sfrutta grandi modelli linguistici (LLM) come “ranker” per ordinare migliaia di funzioni di codice in pochi secondi. Il metodo lavora in batch di circa dieci elementi, valutandoli e riordinandoli in base alla probabilità che contengano una vulnerabilità. Quando le classifiche si stabilizzano, il processo si ferma automaticamente, risparmiando risorse.

Un test reale ha mostrato che, analizzando 2.197 funzioni modificate in un firmware, SiftRank ha individuato la funzione correttiva in meno di due minuti, spendendo solo 0,82 $ di costo di inferenza. Il vantaggio è che non serve un’infrastruttura speciale né un addestramento su dati di sicurezza: basta l’accesso a un’API LLM standard.

Questo significa che anche i ricercatori con risorse limitate possono dare priorità alle minacce più critiche, accelerando la risposta a vulnerabilità emergenti. Il codice è disponibile su GitHub, pronto per essere provato da chiunque voglia sperimentare un nuovo modo di “setacciare” il codice alla ricerca di bug.

SiftRank si basa su tre meccanismi chiave. Primo, il ranking listwise: un LLM valuta piccoli gruppi (≈10) di documenti, producendo una classifica locale. Questo approccio riduce la complessità a O(n) perché ogni documento è processato solo una volta per batch. Secondo, il rilevamento di convergenza per inflection: il sistema monitora la distribuzione dei punteggi e interrompe l'iterazione quando la variazione è inferiore a una soglia predefinita, evitando valutazioni ridondanti. Terzo, il raffinamento iterativo: i documenti con punteggi più alti vengono ricampionati in batch successivi, concentrando la capacità computazionale sui candidati più promettenti.

Per mitigare l'instabilità tipica dei LLM, SiftRank esegue più valutazioni randomizzate per ogni documento, aggregando i risultati con medie ponderate. Questo riduce il bias introdotto da prompt o contesto variabile. Inoltre, il metodo non richiede una fase preliminare di retrieval (come BM25) perché opera direttamente su set di migliaia di elementi, sfruttando la capacità dei LLM di comprendere contesto e semantica del codice.

Nel caso di analisi N‑day, la capacità di identificare rapidamente la funzione di correzione è cruciale: permette di capire quale parte del firmware è stata modificata per risolvere una vulnerabilità, facilitando la generazione di exploit o patch. Il costo di inferenza è calcolato in base al numero di token processati; con batch di 10 elementi e modelli di dimensioni medie, il consumo rimane contenuto.

SiftRank è rilasciato sotto licenza MIT su GitHub, con script per l'integrazione con API di OpenAI, Anthropic o altri provider. Gli sviluppatori possono personalizzare la soglia di convergenza, il numero di batch e il metodo di aggregazione per adattarlo a diversi domini, come analisi di malware, revisione di codice open‑source o valutazione di patch di sicurezza.