پلاگین جدید Hermes Agent با ردیابی مسیرهای نفوذ، آسیب‌پذیری‌های امنیتی کد را شناسایی می‌کند

آزمایشگاه Nous Research افزونه رسمی hermes-security را منتشر کرده است؛ ابزاری که عامل هوشمند Hermes Agent را به یک ارزیاب امنیتی پیشرفته در سطح مخازن کد تبدیل می‌کند. این افزونه ساختار کد را می‌خواند، یک مدل تهدید ترسیم می‌کند، مسیر ورودی‌های تحت کنترل مهاجم تا آسیب‌پذیری‌های بالقوه را ردیابی کرده و حتی می‌تواند برای اثبات رخنه، کد بازتولید آسیب‌پذیری را بنویسد و اجرا کند.

ابزارهای آزمون ایستای امنیت اپلیکیشن (یا SAST) سورس‌کد نرم‌افزار را بدون نیاز به اجرای برنامه تحلیل می‌کنند. با این حال، بسیاری از اسکنرهای سنتی الگوهای خطرسازی را گزارش می‌دهند که در عمل هیچ مسیر دسترسی واقعی برای مهاجم ندارند. مدل Hermes تمرکز ارزیابی خود را روی همین مسئله دسترس‌پذیری قرار می‌دهد؛ رویکردی که هشدارهای کاذب را به‌شدت کاهش می‌دهد و مدارک محکمی برای اثبات آسیب‌پذیری‌های تاییدشده ارائه می‌کند.

نحوه ترسیم سطح حمله توسط Hermes

به‌محض اینکه این ابزار به یک مخزن کد محلی متصل شود، نقاط ورودی و مرزهای اعتماد سیستم را شناسایی کرده و سپس زیرعامل‌های موازی را برای بررسی کد تعیین می‌کند. این بازبین‌های هوشمند گزینه‌های مشکوک را می‌یابند، آنها را با منطق کلی پیاده‌سازی مقایسه می‌کنند و بررسی می‌نمایند که آیا ورودی‌های نامعتبر کاربر واقعاً می‌توانند به بخش حساس و آسیب‌پذیر برسند یا خیر.

سامانه Hermes پوشه‌های پروژه را به بخش‌های حدوداً ۴۰۰۰ خطی تقسیم می‌کند که حجم کاری مناسب برای یک عامل بازبین محسوب می‌شود. حداکثر ۱۰ عامل بازبین به‌طور هم‌زمان این بخش‌ها را اسکن می‌کنند، در حالی که یک بازبین مجزا نیز ساختار کلان پروژه را برای یافتن نقاط ورودی مشترک و مرزهای امنیتی زیر نظر می‌گیرد.

سه حالت کاری برای مدیریت بودجه و توان پردازشی

هر آسیب‌پذیری به یک مسیر دسترسی واقعی نیاز دارد

پیش از آنکه Hermes هر یافته مشکوک را با سطح خطر معین گزارش کند، آن را از فیلتر بررسی سطح کد و سنجش دسترس‌پذیری عبور می‌دهد. این عامل هوشمند به‌جای اینکه یک الگوی کد ایزوله را مدرکی کافی برای وجود باگ بداند، بررسی می‌کند که آیا داده‌های تحت کنترل مهاجم می‌توانند در طول برنامه جابه‌جا شده و به عملیات آسیب‌پذیر منتهی شوند یا خیر.

با فعال‌سازی قابلیت تأیید از طریق آزمون، Hermes یک اسکریپت کوچک برای بازتولید باگ می‌نویسد و آن را با ابزارهای موجود در پروژه درون یک نسخه موقت از مخزن اجرا می‌کند. یک آسیب‌پذیری تنها زمانی برچسب «تاییدشده با آزمون» را دریافت می‌کند که اسکریپت حمله با موفقیت اجرا شود و آزمون منفی متناظر نیز عملکرد طبیعی داشته باشد. این آزمون منفی به شناسایی مواردی کمک می‌کند که آزمون نفوذ به‌دلیلی نامرتبط و تصادفی نتیجه مثبت داده است.

آزمون‌هایی که امکان اجرا پیدا نمی‌کنند با وضعیت NOT_RUN ثبت می‌شوند و هیچ مدرکی له یا علیه آن آسیب‌پذیری به‌شمار نمی‌آیند. علاوه بر این، تست یک اپلیکیشن زنده و در حال اجرا نیازمند مجوزی جداگانه و مشخص برای هر اسکن است که به یک آدرس مبدأ، مدت زمان ۱ ساعت و حداکثر ۲۰۰ درخواست محدود می‌شود؛ ابزارهای این عامل به‌هیچ‌وجه نمی‌توانند خودشان این مجوز را صادر کنند.

هشدارهای امنیتی نیازمند شواهد مبتنی بر کد هستند

سامانه Hermes پیش از بازبینی کدهای اصلی، فایل‌های قفل وابستگی‌ها (Lockfiles) را با ابزار osv-scanner گوگل تطبیق می‌دهد و نسخه‌های اعلام‌شده زمان اجرا را با پایگاه داده endoflife.date مقایسه می‌کند. یک هشدار امنیتی تنها در صورتی به‌عنوان آسیب‌پذیری نهایی ثبت می‌شود که ارزیابی کدها نشان دهد اپلیکیشن واقعاً عملکرد آسیب‌پذیر آن بسته نرم‌افزاری را فراخوانی می‌کند.

گزارش‌های مستند با حفظ شفافیت کامل

هر گزارش صادرشده شامل شواهد تاییدکننده، موارد مشکوک ردشده و شکاف‌های پوشش اسکن است. نتایج خروجی در قالب فرمت‌های Markdown ،JSON ،CSV یا SARIF قابل دریافت هستند و نسخه دسکتاپ Hermes نیز صفحه‌ای اختصاصی برای مرور جامع این گزارش‌های امنیتی فراهم کرده است.

ذخیره‌سازی وضعیت در قالب نقاط بازیابی (Checkpoint) به کاربر امکان می‌دهد اسکن‌های متوقف‌شده یا قطع‌شده را با یک پیام جدید یا کلیک روی دکمه ادامه اسکن از سر بگیرد. کدهای بررسی‌نشده و عامل‌هایی که موفقیتی در ارائه نتیجه نداشته‌اند، به‌صورت شکاف پوشش نمایش داده می‌شوند؛ بنابراین گزارشی که هیچ باگی نیافته اما پوشش کاملی نداشته است، آن مسیرها را بررسی‌نشده و تعیین‌تکلیف‌نشده باقی می‌گذارد.

نصب با یک دستور و سه روش فراخوانی

این افزونه که با مجوز آپاچی ۲.۰ (Apache-2.0) منتشر شده است، در مخزن رسمی افزونه‌های Hermes قرار دارد و برای استفاده به نسخه ۰.۲۱.۵ یا بالاتر Hermes و پایتون ۳.۱۱ یا جدیدتر نیاز دارد. نصب آن تنها با یک دستور انجام می‌شود:

hermes plugins install hermes-security --enable

• گفتگو در چت: درخواست از Hermes با عبارت scan this repo for security issues.
• دستور اسلش: اجرای دستور /security.
• رابط خط فرمان (CLI): اجرای دستور hermes security-review.

این افزونه هیچ هزینه لایسنسی ندارد، اما ارائه‌دهنده مدل زبانی انتخابی شما هزینه مصرف توکن‌ها را محاسبه می‌کند. هزینه‌ها متناسب با حجم کدهای اسکن‌شده، تعداد دورهای بررسی، تحلیل مسیرهای دسترسی و آزمون‌های تولیدشده افزایش می‌یابد.

مرزهای اعتماد فراتر از مخزن کد گسترش می‌یابد

قابلیت تأیید با آزمون، کدهای تولیدشده را با دسترسی‌های کاربر فعلی درون یک کپی موقت از مخزن اجرا می‌کند. هرچند Hermes متغیرهای محیطی حاوی اطلاعات حساس و گذرواژه‌ها را حذف می‌کند، اما کدهای ناشناس مخزن همچنان ممکن است با سطح دسترسی کاربر اجرا شوند؛ به همین دلیل، آزمون تأیید نفوذ باید تنها روی مخازن و کدهای مورد اعتماد انجام شود.

از سوی دیگر، کدهای تحت بررسی به سرورهای ارائه‌دهنده مدل هوش مصنوعی ارسال می‌شوند. تیم‌هایی که محدودیت‌ها و سیاست‌های سخت‌گیرانه‌ای برای اشتراک‌گذاری سورس‌کد دارند، باید از مدل‌ها و ارائه‌دهندگانی استفاده کنند که سیاست‌های نگهداری داده آنها با این الزامات همخوانی داشته باشد.

جایگاه Hermes در زنجیره ابزارهای امنیتی

افزونه Hermes فرآیندهای مدل‌سازی تهدید، بازبینی موازی، تحلیل مسیرهای دسترس‌پذیری، اجرای اختیاری اسکریپت‌های اکسپلویت و صدور خروجی استاندارد SARIF را در قالب اولین افزونه رسمی شرکت Nous برای گردش کارهای SAST ترکیب کرده است. خط پردازش مرحله‌به‌مرحله این سامانه باعث می‌شود پیش از رسیدن یافته‌های هوش مصنوعی به مرحله تریاژ و ارزیابی نهایی، ایستگاه‌های بررسی مشخصی اعمال شود.

تیم‌هایی که در حال حاضر از ابزارهایی نظیر Snyk و Semgrep یا بررسی انسانی تغییرات کد استفاده می‌کنند، می‌توانند Hermes را به‌عنوان بازبینی مکمل به کار گیرند که قابلیت سوءاستفاده از رخنه را ردیابی کرده و در صورت وجود مجوز، برای بازتولید آن تلاش می‌کند. خروجی در فرمت SARIF این امکان را به وجود می‌آورد که یافته‌های تاییدشده و تاییدنشده مستقیماً وارد سیستم‌های امنیتی موجود شوند.

علاوه بر این، تطبیق‌های انجام‌شده با فهرست ۱۰ آسیب‌پذیری برتر OWASP و استاندارد تأیید امنیت اپلیکیشن (ASVS) محدوده ارزیابی را مشخص می‌کند، هرچند که مجوزی رسمی برای انطباق با استانداردها ارائه نمی‌دهد.