ChatGPT分析代碼漏洞靠譜嗎？可能還得靠人工

OpenAI公司的ChatGPT最近爆火刷屏，這是一款人工智能技術(shù)驅(qū)動的自然語言處理工具，核心優(yōu)勢是通過基于自然語言處理技術(shù)模型、情景模型和語言模型來自動生成文章和代碼。

今日，華為中國官微發(fā)布了一篇來自華為安全AI算法專家，中科院博士李智華“從防御視角探討ChatGPT對網(wǎng)絡(luò)安全的影響”的文章，對ChatGPT在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用進(jìn)行能力評估。

據(jù)介紹，ChatGPT在網(wǎng)絡(luò)安全領(lǐng)域的應(yīng)用主要有以下方面：威脅檢測：提取簽名規(guī)則、識別惡意代碼;代碼審計：分析代碼漏洞;威脅情報：從文本中提取情報;安全運(yùn)營：生成安全運(yùn)營報告。

以比較簡單的存在SQL注入的代碼審計為例，ChatGPT的回答還算讓人滿意，不過，當(dāng)李智華嘗試一個不存在SQL注入的代碼時，ChatGPT就開始“一本正經(jīng)的胡說八道”了。

李智華表示，實際上，上面的代碼可以有效地防止SQL注入，原因包括采用預(yù)編譯，避免了拼接SQL語句，清晰地劃分了代碼與數(shù)據(jù);檢測了數(shù)據(jù)類型是否僅為數(shù)字;判定結(jié)果是否僅為一條，有效防止“拖庫”攻擊。ChatGPT回答錯誤，進(jìn)一步追問ChatGPT，讓其給出poc代碼，結(jié)果答案果然是錯的。

李智華稱，總體而言，ChatGPT對代碼審計有一定的幫助，但是需要人工核實它回答的結(jié)果是否正確。