Big Sleep, el agente de Google que encontró una vulnerabilidad en SQLite antes de su lanzamiento

Un agente de Google Project Zero revisó commits recientes de SQLite y halló un fallo de memoria explotable que se corrigió el mismo día.

Qué se hizo

Un agente basado en Gemini 1.5 Pro funcionaba dentro de Naptime, el entorno de Project Zero que le da un navegador de código, un depurador, una herramienta de informes y un sandbox para scripts en Python.

Los investigadores le dieron un fallo de SQLite ya corregido, junto con mensajes y diffs de commits recientes, y le pidieron buscar problemas similares sin resolver. El agente relacionó el fallo antiguo con otra parte del código, escribió un caso de prueba, provocó el fallo y elaboró un análisis de la causa raíz.

Resultado

Encontró un desbordamiento por debajo del búfer en la pila (en seriesBestIndex) y SQLite lo corrigió el mismo día, antes de que llegara a ninguna versión publicada. 150 horas de CPU de fuzzing no lo habían encontrado.

A tener en cuenta

El fallo solo estaba en una versión en desarrollo. El equipo califica Big Sleep de muy experimental y cree que un fuzzer específico podría ser igual de eficaz hoy.

Prompt para probarlo

En este repositorio [ruta o URL], revisa los commits de [periodo] empezando por la corrección de [fallo conocido]. Busca fallos parecidos que esa corrección pudiera haber pasado por alto, sobre todo [tipo de fallo]. Escribe un informe con cada commit sospechoso, por qué lo parece y cómo lo confirmarías. No modifiques código ni publiques nada.

Plantilla orientativa redactada por CasosAgentesIA a partir del caso; no es el prompt original. Sustituye lo que está entre corchetes.

Casos relacionados

Los mejores casos, cada semana

Un email semanal con los casos de agentes de IA más útiles, con su prompt para probarlos. Gratis y sin spam.

Al suscribirte aceptas la política de privacidad. El formulario lo gestiona Beehiiv.