OpenHack: जब AI कोडिंग एजेंट बन जाते हैं व्यवस्थित सिक्योरिटी ऑडिटर

सामान्य LLM कोड रिव्यू की समस्या

यदि किसी मॉडल से सीधे पूछा जाए—"इस रिपॉज़िटरी में vulnerabilities ढूँढो"—तो परिणाम अक्सर अविश्वसनीय होते हैं। Hadrian के अनुसार आम समस्याएं हैं:

• False positives: सुरक्षित कोड को भी vulnerability बता देना
• Hallucinated findings: ऐसी कमजोरियां बताना जो वास्तव में मौजूद नहीं होतीं
• Inconsistent analysis: अलग‑अलग प्रॉम्प्ट या संदर्भ में अलग परिणाम

OpenHack इन समस्याओं को हल करने के लिए खुले‑अंत वाले प्रश्नों की जगह एक संरचित जांच पद्धति लागू करता है।

Scenario‑Based Security Investigation

OpenHack का एक प्रमुख विचार है scenario‑based scoping।

पूरे कोडबेस को बिना दिशा के स्कैन करने के बजाय AI को विशिष्ट हमले के परिदृश्यों पर ध्यान देने के लिए कहा जाता है। उदाहरण के लिए:

• यूज़र इनपुट एप्लिकेशन में कैसे प्रवाहित होता है, इसका पता लगाना
• Local File Inclusion (LFI) जैसी कमजोरियों की जांच
• credentials storage या cloud configuration की समीक्षा

इस तरह AI का ध्यान एक स्पष्ट लक्ष्य पर केंद्रित रहता है, जिससे विश्लेषण अधिक सटीक और उपयोगी बनता है।

False Positives कम करने के लिए Independent Triage

OpenHack की दूसरी महत्वपूर्ण विशेषता है discovery और validation को अलग करना।

एक सामान्य OpenHack वर्कफ़्लो में:

1. एक AI एजेंट संभावित vulnerability खोजता है
2. दूसरा चरण या अलग एजेंट उसका triage करता है
3. प्रमाण (evidence) देखकर ही उसे वास्तविक सुरक्षा समस्या माना जाता है

इस प्रक्रिया से कमज़ोर या गलत रिपोर्ट फ़िल्टर हो जाती हैं और मॉडल को वास्तविक सबूत—जैसे code paths या exploit chains—इकट्ठा करने के लिए प्रेरित किया जाता है।

डच सरकारी कोड ऑडिट में परीक्षण

Hadrian के अनुसार इसी तरह की पद्धति का उपयोग करके उन्होंने डच सरकारी एजेंसियों द्वारा इस्तेमाल किए जाने वाले ओपन‑सोर्स प्रोजेक्ट्स का सुरक्षा विश्लेषण किया।

कंपनी का दावा है कि AI‑सहायता प्राप्त समीक्षा ने कुछ ही घंटों में सैकड़ों सुरक्षा समस्याएं उजागर कर दीं।

रिसर्च में बताए गए एक उदाहरण में शामिल थे:

• unauthenticated Local File Inclusion (LFI) vulnerability
• Azure credentials का एक्सपोज़र
• और Azure वातावरण में संभावित remote code execution का रास्ता

हालांकि ये परिणाम मुख्य रूप से कंपनी की अपनी रिपोर्टिंग पर आधारित हैं, इसलिए स्वतंत्र पुष्टि होने तक इन्हें सावधानी से देखना चाहिए।

OpenHack को ओपन‑सोर्स क्यों किया गया

Hadrian ने OpenHack को GitHub पर MIT लाइसेंस के तहत जारी किया है। इसमें शामिल हैं:

• विस्तृत documentation
• तैयार prompts
• CLI टूल्स
• Python 3.9 या उससे नए संस्करण का सपोर्ट

कंपनी का कहना है कि उद्देश्य "defenders के लिए खेल का मैदान बराबर करना" है। अगर AI टूल्स सॉफ़्टवेयर कमजोरियां खोजने में अधिक सक्षम हो रहे हैं, तो सुरक्षा टीमों को भी वही क्षमता खुलकर उपलब्ध होनी चाहिए—न कि केवल निजी या बंद प्रणालियों में।

AI‑सहायता प्राप्त सिक्योरिटी ऑडिटिंग का बढ़ता ट्रेंड

OpenHack एक बड़े रुझान की ओर संकेत करता है: AI एजेंटों द्वारा बड़े पैमाने पर कोड सुरक्षा विश्लेषण।

आधुनिक AI‑आधारित डेवलपमेंट टूल्स पहले ही पूरे कोडबेस को समझने, आर्किटेक्चर का विश्लेषण करने और कई डेवलपमेंट कार्य स्वचालित करने में सक्षम हो चुके हैं।

OpenHack जैसे संरचित वर्कफ़्लो इन क्षमताओं को सुरक्षा क्षेत्र में लागू करने की कोशिश करते हैं—ताकि सामान्य AI मॉडल भी व्यवस्थित रूप से vulnerabilities खोजने वाले शोधकर्ता की तरह काम कर सकें, न कि अनियमित कोड रिव्यूअर की तरह।