Firefox risolve 423 bug in un mese grazie all'IA: tra questi, difetti vecchi di 20 anni

Mozilla ha recentemente pubblicato un aggiornamento di sicurezza per Firefox che ha risolto 423 vulnerabilità in un solo mese, un risultato senza precedenti rispetto ai circa 420 bug risolti nei 14 mesi precedenti. Questo traguardo è stato raggiunto grazie all’utilizzo di Claude Mythos Preview, un modello di intelligenza artificiale sviluppato da Anthropic, che ha permesso di identificare e correggere difetti storici e potenzialmente critici in tempi record.

Bug vecchi di 20 anni: un caso emblematico

Tra i difetti risolti, spicca Bug 2025977, un problema di reentranza XSLT risalente a vent’anni fa. La vulnerabilità, che coinvolge chiamate key(), poteva innescare una riorganizzazione della tabella hash, liberare lo spazio di memoria e lasciare puntatori a voci non valide. Un altro esempio è Bug 2024437, un difetto di 15 anni fa legato all’elemento HTML <legend>. Questi bug rappresentano casi tipici di vulnerabilità nascoste in porzioni di codice obsolete, interazioni complesse o casi limite poco testati, che sfuggono ai controlli tradizionali come il fuzzing o la revisione manuale.

L’impatto dell’IA nella sicurezza informatica

Mozilla ha dichiarato che Claude Mythos Preview ha contribuito a identificare e risolvere 271 bug nella versione 150 di Firefox, con ulteriori correzioni distribuite nelle versioni 149.0.2, 150.0.1 e 150.0.2. Di questi, 180 sono stati classificati come sec-high, 80 come sec-moderate e 11 come sec-low. Secondo il framework di valutazione delle vulnerabilità di Mozilla, i bug sec-high sono quelli che possono essere sfruttati con azioni ordinarie dell’utente, come la visita a una pagina web, rendendoli particolarmente pericolosi anche in assenza di prove di sfruttamento reale.

Il successo di questo approccio dimostra come l’intelligenza artificiale possa rivoluzionare la sicurezza informatica, soprattutto in progetti maturi e ampiamente testati come Firefox. Il codice del browser è stato sottoposto a controlli da parte di team interni, ricercatori esterni, fuzzer automatici, cacciatori di bug e persino attaccanti per anni. Tuttavia, l’aggiornamento di aprile ha evidenziato che, nonostante la maturità del progetto, esistono ancora vulnerabilità nascoste che richiedono strumenti avanzati per essere scoperte.

Dall’identificazione alla correzione: il ruolo dell’IA

In passato, i report generati dall’IA per progetti open source erano spesso caratterizzati da un alto tasso di falsi positivi, rendendo difficile per i maintainer distinguere tra segnalazioni valide e rumore. Tuttavia, Mozilla ha sviluppato un sistema di gestione che ha trasformato l’IA da semplice strumento di scoperta a risorsa operativa. Questo sistema è in grado di:

• Orientare i modelli verso aree specifiche del codice;
• Generare casi di test riproducibili;
• Filtrare i falsi positivi;
• Deduplicare i risultati;
• Valutare la gravità delle vulnerabilità;
• Inserire i bug confermati nel ciclo di sicurezza.

In questo modo, l’IA fornisce la potenza di scoperta, mentre il sistema di gestione trasforma queste scoperte in report confermati e patch operative. Tra i difetti risolti, spicca anche una vulnerabilità legata a WebAssembly GC, che avrebbe potuto creare un primitivo di tipo fake-object con potenziali accessi arbitrari in lettura o scrittura, oltre a condizioni di race nell’IPC che interessano i riferimenti del processo principale.

Un modello per il futuro della sicurezza informatica

«Questo risultato dimostra che l’intelligenza artificiale può essere un alleato prezioso nella difesa informatica, soprattutto quando applicata a progetti complessi e maturi come Firefox. Tuttavia, il vero valore aggiunto non è solo nella scoperta delle vulnerabilità, ma nella capacità di trasformare queste scoperte in azioni concrete e tempestive.»

Mozilla sottolinea che, nonostante i progressi, l’IA non sostituisce completamente il lavoro umano, ma lo integra in modo sinergico. Il futuro della sicurezza informatica potrebbe vedere una collaborazione sempre più stretta tra intelligenza artificiale e ingegneri umani, per garantire sistemi sempre più robusti e protetti.