Les LLMs, sont des outils de pattern-matching sous stéroïdes qui découvrent plein de bugs de cette façon
En fait, la question qui est posée est l'existence possibles de failles conceptuellement inconnues. Là, le texte sous-entend que les LLM ne peuvent détecter que des failles dont le principe est connu, mais qu'ils seraient incapables de détecter des failles totalement nouvelles, mais est-ce que de telles failles existent réellement?
Après, il ne faut pas sous-estimer l'évolution des perfs de ces modèles; l'auteur dit qu'en 18 mois on aura fait le tour des correctifs, mais 18 mois c'est largement assez pour qu'une nouvelle génération de modèles soit capable de remonter des nouveaux types de failles.
Les LLMs mentent, tous.
Oui, enfin, ils font des erreurs. Mentir nécessite une volonté de tromper, on sait que les LLM peuvent mentir, mais je ne suis pas sûr que la situation décrite ici corresponde à ça.
Par contre, le problème décrit (le fait que certaines failles déclarées n'en sont pas vraiment) me semble potentiellement gérable grâce aux LLM eux-mêmes, qui excellent à "discuter" entre eux pour vérifier des problèmes complexes. Si un agent est configuré pour mettre en doute la réalité des failles soumises, de demander plus de preuves, des correctifs, etc., il est probablement possible d'éviter justement que les humains se fatiguent trop à réfuter les rapports des LLM.
# Nouvelles failles ou pas
Posté par arnaudus . En réponse au journal L'efficacité des LLMs pour la recherche de vulnérabilités, point de vue d'un mainteneur. Évalué à -1 (+1/-5).
En fait, la question qui est posée est l'existence possibles de failles conceptuellement inconnues. Là, le texte sous-entend que les LLM ne peuvent détecter que des failles dont le principe est connu, mais qu'ils seraient incapables de détecter des failles totalement nouvelles, mais est-ce que de telles failles existent réellement?
Après, il ne faut pas sous-estimer l'évolution des perfs de ces modèles; l'auteur dit qu'en 18 mois on aura fait le tour des correctifs, mais 18 mois c'est largement assez pour qu'une nouvelle génération de modèles soit capable de remonter des nouveaux types de failles.
Oui, enfin, ils font des erreurs. Mentir nécessite une volonté de tromper, on sait que les LLM peuvent mentir, mais je ne suis pas sûr que la situation décrite ici corresponde à ça.
Par contre, le problème décrit (le fait que certaines failles déclarées n'en sont pas vraiment) me semble potentiellement gérable grâce aux LLM eux-mêmes, qui excellent à "discuter" entre eux pour vérifier des problèmes complexes. Si un agent est configuré pour mettre en doute la réalité des failles soumises, de demander plus de preuves, des correctifs, etc., il est probablement possible d'éviter justement que les humains se fatiguent trop à réfuter les rapports des LLM.