Google publicó la arquitectura de un sistema de inteligencia artificial (IA) multiagente utilizado internamente para detectar fallos de seguridad en código fuente y que, en una investigación reciente, identificó más de cien vulnerabilidades críticas en apenas 48 horas.
La infraestructura, denominada Agentic Vulnerability Discovery Harness (AVDH), es utilizada por Mandiant, perteneciente a Google Cloud, para descubrir vulnerabilidades a gran escala mediante el análisis de entornos que pueden contener decenas de millones de líneas de código.
«Lo hemos utilizado para analizar entornos que abarcan decenas de millones de líneas de código y ejecutar miles de canalizaciones para generar decenas de miles de hallazgos», afirmó Mandiant. El sistema se apoya en el Kit de Desarrollo de Agentes de Google (ADK) y Google Antigravity para coordinar agentes especializados en diferentes tareas.
AVDH comienza su revisión con un agente explorador encargado de identificar el propósito principal del código fuente. Después activa subagentes especializados en áreas como autenticación, autorización y enrutamiento, cuyos resultados son enviados a otro agente que sintetiza las posibles amenazas para su posterior verificación.
Una vez establecido el modelo de amenazas, varios agentes de descubrimiento trabajan en paralelo y utilizan Gemini Flash Lite para analizar cada archivo e identificar puntos de entrada críticos. Posteriormente, agentes de enriquecimiento recopilan información adicional para determinar si es necesario profundizar en aspectos relacionados con el control de acceso o el flujo de datos.
El agente de control de acceso «revela fallos cuando no se realizó una verificación o se realizó con una identidad incorrecta, incluyendo la falta de autorización, la escalada de privilegios y la falsificación de solicitudes entre sitios». Por su parte, el agente dedicado al flujo de datos » descubre vulnerabilidades como la inyección SQL, el cross-site scripting (XSS), la inyección de comandos y el recorrido de rutas».
Los hallazgos se convierten en hipótesis que posteriormente son sometidas a la validación de otros agentes especializados y a la revisión de expertos humanos para descartar falsos positivos. El proceso se complementa con reglas destinadas a comprobar si el sistema también dejó vulnerabilidades sin identificar.
«Al combinar la orquestación multiagente con nuestra experiencia de primera línea, este marco ayuda a mejorar el descubrimiento y la validación de vulnerabilidades rutinarias, lo que permite a los humanos centrar su impacto», aseguró Mandiant. La compañía lleva diez meses utilizando AVDH en código fuente propietario y destacó que, durante una investigación relacionada con el robo de repositorios corporativos, la herramienta descubrió más de cien vulnerabilidades críticas en dos días. Google decidió ahora publicar su diseño arquitectónico para que equipos de seguridad y desarrolladores de código abierto puedan utilizar este enfoque para reforzar la protección de las cadenas de suministro de software.