Bugcrowd anuncia taxonomía de calificación para LLM

Bugcrowd ha anunciado actualizaciones de su Taxonomía de clasificación de vulnerabilidades (VRT), que clasifica y prioriza las vulnerabilidades de colaboración colectiva.

La nueva actualización aborda específicamente las vulnerabilidades en los modelos de lenguajes grandes (LLM) por primera vez. El VRT es una iniciativa de código abierto que tiene como objetivo estandarizar cómo se clasifican las vulnerabilidades sospechosas reportadas por los piratas informáticos.

“Esta nueva versión de VRT no sólo abre una nueva forma de investigación de seguridad ofensiva y formación de equipos rojos para los participantes del programa, sino que también ayuda a las empresas a aumentar su alcance para incluir estos vectores de ataque adicionales”, dijo Ads Dawson, ingeniero de seguridad senior del proveedor de plataforma LLM. Cohere y un colaborador clave del lanzamiento. “Estoy deseando ver cómo este lanzamiento de VRT influirá en los investigadores y las empresas que buscan fortalecer sus defensas contra estos conceptos de ataque recién introducidos”.

En 2016, Bugcrowd lanzó VRT, desarrollado inicialmente como una herramienta interna. Desde entonces, se ha convertido en un proyecto de código abierto para la colaboración entre los clientes, ingenieros de seguridad de aplicaciones e investigadores de Bugcrowd. El VRT sirve como un marco compartido para evaluar la gravedad de los riesgos de ciberseguridad y adaptarse al panorama de amenazas en evolución.

El VRT de Bugcrowd establece una clasificación de gravedad técnica básica para clases de vulnerabilidad comunes, considerando variaciones potenciales en casos extremos. Esta calificación la determinan los ingenieros de seguridad de aplicaciones de Bugcrowd, quienes comienzan con pautas ampliamente aceptadas en la industria. Luego, tienen en cuenta la tasa de aceptación promedio de la vulnerabilidad, la prioridad promedio y su frecuencia en las listas de exclusiones específicas de casos de uso comercial en todos los programas Bugcrowd para llegar a la calificación de gravedad técnica básica.