Microsoft: Inteligencia artificial para analizar informes de seguridad…¡solo por su título!

Según Microsoft, sus 47.000 desarrolladores generan alrededor de 30.000 errores al mes, pero solo algunos de estos fallos tienen implicaciones de seguridad que deban ser abordadas durante la fase de ciclo de desarrollo de los productos afectados por las mismas. El problema, claro, viene dado por la cantidad de recursos humanos y materiales que serían necesarios para gestionar adecuadamente ese volumen de información, con el fin de garantizar que todos los informes relacionados con esos errores sean correctamente analizados y gestionados.

Con el fin de afrontar esta tarea, los de Redmond acaban de hacer público cómo está aplicando el aprendizaje automático al desafío de identificar correctamente qué informes de errores están realmente relacionados con la seguridad. Y el desafío es particularmente complejo, ya que su objetivo es identificar correctamente los errores de seguridad utilizando un modelo de inteligencia artificial que solo analice las etiquetas de los informes de error.

A su favor está la colosal cantidad de registros de este tipo con los que cuenta Microsoft para el entrenamiento del sistema, nada menos que 13 millones de informes recopilados desde 2001. Gracias a los mismos, el desarrollo ya se estaría mostrando bastante efectivo. Según sus creadores, su modelo de aprendizaje automático distingue correctamente entre errores de seguridad y no de seguridad el 99% del tiempo. También puede identificar con precisión errores críticos de seguridad el 97% del tiempo.

Esta investigación, cuyo informe puedes encontrar aquí, y de la que sus autores hablan en este blog, tiene un objetivo principal, y que va más allá de la excelencia técnica que supone hacer algo así. Muchos informes contienen información sujeta a protección especial por cuestiones de privacidad. Así, crear un sistema que sea capaz de clasificar las incidencias sin revisar el texto completo de las mismas, supone una descarga de responsabilidad en lo relacionado con la gestión de la privacidad.

«Capacitamos a los clasificadores para la identificación de informes de errores de seguridad (SBR) basados ​​únicamente en el título de los informes«, explican Mayana Pereira, científica de datos de Microsoft, y Scott Christiansen de la división de Seguridad y Confianza del Cliente de Microsoft. «Clasificar errores basándose únicamente en el título y las etiquetas es particularmente relevante cuando los informes completos de errores no pueden estar disponibles debido a preocupaciones de privacidad. Por ejemplo, es notorio el caso de los informes de errores que contienen contraseñas y otros datos confidenciales»

Esto no significa, claro, que Microsoft haya dejado de contar con expertos de seguridad para este fin. Ahora su principal función  es participar en la capacitación, el reciclaje y la evaluación del modelo, así como también en la aprobación de los datos de capacitación que sus científicos de datos introdujeron en el modelo de aprendizaje automático.