Mozilla zet AI in voor grootschalige opsporing van kwetsbaarheden in Firefox

Mozilla heeft uitgebreid toegelicht hoe het kunstmatige intelligentie inzet om beveiligingsproblemen in Firefox sneller en effectiever op te sporen. Volgens het bedrijf markeert deze aanpak een belangrijke verschuiving in de manier waarop moderne softwarebeveiliging wordt uitgevoerd. Waar traditionele beveiligingsanalyse grotendeels afhankelijk is van menselijke onderzoekers, handmatige code-audits en klassieke fuzzingtechnieken, wordt AI nu ingezet als actieve onderzoek partner die zelfstandig kwetsbaarheden kan analyseren, testscenario’s kan genereren en potentiële beveiligingsproblemen kan reproduceren.

De browserontwikkelaar stelde eerder al dat AI-modellen betrokken waren bij het identificeren van honderden kwetsbaarheden in Firefox. Inmiddels geeft Mozilla voor het eerst uitgebreider inzicht in de technische werkwijze achter deze resultaten. Daarbij benadrukt het bedrijf dat de kwaliteit van AI-ondersteunde beveiligingsanalyse de afgelopen maanden sterk is verbeterd.

Grote vooruitgang in betrouwbaarheid van AI-analyse

Volgens Mozilla bestonden vroege AI-gegenereerde beveiligingsrapporten nog regelmatig uit foutieve meldingen. Zulke false positives vormden lange tijd een belangrijk probleem bij automatische codeanalyse. Ontwikkelaars moesten veel tijd besteden aan het controleren van waarschuwingen die uiteindelijk geen echte kwetsbaarheid bleken te zijn.

Mozilla stelt echter dat moderne taalmodellen inmiddels veel beter in staat zijn om complexe programmeerstructuren te begrijpen, afhankelijkheden binnen grote codebases te analyseren en daadwerkelijk reproduceerbare kwetsbaarheden te identificeren. Het bedrijf schrijft die vooruitgang niet alleen toe aan krachtigere AI-modellen, maar vooral ook aan de manier waarop die modellen worden aangestuurd.

Centraal in die aanpak staat een intern ontwikkeld systeem dat Mozilla omschrijft als een ‘harness’. Dit systeem functioneert als een gecontroleerde omgeving waarin AI-modellen doelgericht beveiligingsonderzoek uitvoeren. In plaats van simpelweg volledige broncode te laten analyseren, krijgt het model gerichte opdrachten. Zo kan het bijvoorbeeld worden gevraagd om in een specifiek onderdeel van Firefox te zoeken naar geheugenproblemen, sandbox-gerelateerde fouten of onveilige pointermanipulatie.

AI analyseert, test en reproduceert kwetsbaarheden

De harness beperkt zich niet tot passieve codeanalyse. Volgens Mozilla kan het systeem zelfstandig tests genereren en uitvoeren om te controleren of een vermoedelijke kwetsbaarheid daadwerkelijk exploiteerbaar is.

De AI krijgt daarbij toegang tot dezelfde interne testinfrastructuur die ook door Mozilla-engineers wordt gebruikt. Dat omvat speciale Firefox-builds die zijn uitgerust met zogeheten sanitizers: hulpmiddelen die geheugenfouten, use-after-free-problemen, buffer overflows en andere vormen van geheugenonveiligheid zichtbaar maken.

Wanneer een door AI gegenereerde testcase Firefox laat crashen binnen zo’n sanitizer-build, beschouwt Mozilla dat als een sterke aanwijzing dat sprake is van een echte kwetsbaarheid.

Die werkwijze zorgt ervoor dat de AI niet alleen theoretische problemen aanwijst, maar ook actief probeert aan te tonen dat een fout reproduceerbaar is. Daarmee verschilt de methode aanzienlijk van oudere vormen van statische codeanalyse, die vaak grote aantallen onbevestigde waarschuwingen produceerden.

Tweede AI-model controleert de resultaten

Om de kans op foutieve meldingen verder te verkleinen, gebruikt Mozilla meerdere AI-systemen naast elkaar. Een tweede taalmodel beoordeelt de resultaten van het eerste model en probeert onbetrouwbare meldingen eruit te filteren voordat menselijke beveiligingsonderzoekers ze analyseren.

Die extra verificatiestap blijkt volgens Mozilla bijzonder effectief. Het bedrijf stelt dat de huidige aanpak nog maar nauwelijks false positives oplevert. Dat is opmerkelijk, omdat foutieve waarschuwingen jarenlang een van de grootste obstakels vormden voor geautomatiseerde beveiligingsanalyse.

Door alleen meldingen door te sturen die technisch reproduceerbaar lijken, kunnen beveiligingsonderzoekers hun tijd efficiënter besteden aan het daadwerkelijk onderzoeken en verhelpen van kwetsbaarheden.

Honderden kwetsbaarheden opgespoord

Volgens Mozilla heeft de AI-aanpak inmiddels geleid tot de identificatie van honderden beveiligingsproblemen in Firefox. Een aanzienlijk deel daarvan kreeg intern het label ‘sec-high’, een classificatie voor kwetsbaarheden die onder normale omstandigheden potentieel misbruikt kunnen worden via bijvoorbeeld een kwaadaardige website.

De gevonden problemen bevonden zich verspreid over uiteenlopende onderdelen van de browser. Daarbij ging het onder meer om geheugenveiligheidsproblemen, parserfouten, onveilige objectverwijzingen en fouten in sandbox-mechanismen.

Sandbox escapes kregen daarbij bijzondere aandacht. Dit type kwetsbaarheid is gevaarlijk omdat aanvallers hiermee kunnen proberen te ontsnappen uit een beperkt browserproces naar een proces met hogere rechten. Moderne browsers gebruiken sandboxing juist om schade te beperken wanneer kwaadaardige code wordt uitgevoerd.

Wanneer een sandbox escape succesvol wordt gecombineerd met andere kwetsbaarheden, kan dat in sommige gevallen leiden tot volledige compromittering van een systeem.

Opvallend volgens Mozilla is dat sommige van de ontdekte fouten al zeer lang in de Firefox-code aanwezig waren. Diverse kwetsbaarheden zouden al vijftien tot twintig jaar ongemerkt in de codebase hebben bestaan.

Dat onderstreept volgens het bedrijf hoe moeilijk het is om complexe geheugenproblemen in grote softwareprojecten handmatig op te sporen. Firefox bestaat uit miljoenen regels code die over tientallen jaren zijn ontwikkeld en voortdurend zijn uitgebreid.

Sterke stijging van het aantal beveiligingsfixes

Mozilla zegt dat het gebruik van AI direct zichtbaar is geworden in het tempo waarmee beveiligingsproblemen worden opgelost.

Waar Firefox eerder gemiddeld enkele tientallen beveiligingslekken per maand corrigeerde, steeg het aantal fixes in april 2026 volgens Mozilla naar meer dan vierhonderd. Dat betekent niet noodzakelijk dat Firefox plotseling onveiliger is geworden, maar vooral dat veel bestaande kwetsbaarheden sneller worden opgespoord.

Volgens Mozilla maakt AI het mogelijk om op veel grotere schaal code te analyseren dan met uitsluitend menselijke onderzoekers haalbaar zou zijn. Taken die normaal weken of maanden aan handmatige inspectie zouden vergen, kunnen nu veel sneller worden uitgevoerd.

Daarbij benadrukt het bedrijf dat menselijke beveiligingsexperts nog steeds een belangrijke rol spelen. AI wordt niet gezien als vervanging van onderzoekers, maar als hulpmiddel dat repetitieve analyse automatiseert en onderzoekers helpt zich te richten op de meest relevante problemen.

AI wordt steeds dieper geïntegreerd in het ontwikkelproces

Mozilla geeft aan intern inmiddels overtuigd te zijn van de effectiviteit van de nieuwe werkwijze. Het bedrijf onderzoekt daarom hoe AI-beveiligingsanalyse nog verder geïntegreerd kan worden in het ontwikkelproces van Firefox.

Een van de onderzochte toepassingen is automatische controle van nieuwe patches en codewijzigingen zodra die aan de broncode worden toegevoegd. Het doel daarvan is om potentiële kwetsbaarheden al vroeg in het ontwikkelproces te detecteren, nog voordat nieuwe code onderdeel wordt van een publieke Firefox-release.

Mozilla verwacht dat AI-modellen in de toekomst niet alleen kwetsbaarheden kunnen detecteren, maar mogelijk ook kunnen helpen bij het voorstellen van veilige patches of het herkennen van risicovolle programmeerpatronen voordat die daadwerkelijk tot beveiligingsproblemen leiden.

Breder effect op softwarebeveiliging

Volgens Mozilla staat de software-industrie aan het begin van een fundamentele verandering in beveiligingsonderzoek. Het bedrijf verwacht dat AI-ondersteunde analyse in de komende jaren een standaardonderdeel wordt van softwareontwikkeling.

Daarbij waarschuwt Mozilla impliciet dat organisaties die deze technieken niet tijdig adopteren mogelijk achterop raken. Omdat moderne softwareprojecten steeds groter en complexer worden, groeit ook de hoeveelheid code die handmatig gecontroleerd moet worden.

AI-systemen kunnen volgens Mozilla helpen om die schaalbaarheid problemen gedeeltelijk op te lossen door automatisch verdachte codepatronen te identificeren en kwetsbaarheden sneller reproduceerbaar te maken.

Mozilla roept andere softwareontwikkelaars daarom op om nu al ervaring op te doen met AI-ondersteunde beveiligingsanalyse. Volgens het bedrijf ontwikkelen taalmodellen zich momenteel in hoog tempo, waardoor organisaties die vroeg investeren in dergelijke technologie waarschijnlijk beter voorbereid zijn op toekomstige ontwikkelingen binnen softwarebeveiliging.

Kritische kanttekeningen blijven bestaan

Ondanks het enthousiasme erkent Mozilla indirect dat AI-beveiligingsanalyse niet foutloos is. Ook moderne modellen kunnen verkeerde conclusies trekken, context missen of problemen over het hoofd zien.

Daarnaast blijft beveiligingsonderzoek afhankelijk van menselijke validatie, zeker bij complexe kwetsbaarheden waarbij exploitatie sterk afhankelijk is van specifieke omstandigheden.

Beveiligingsexperts wijzen er bovendien op dat dezelfde AI-technologieën in theorie ook door aanvallers kunnen worden gebruikt om kwetsbaarheden sneller te vinden. Dat betekent dat de opkomst van AI zowel defensieve als offensieve beveiligingscapaciteiten versnelt.

Toch lijkt Mozilla ervan overtuigd dat de voordelen momenteel zwaarder wegen dan de nadelen. Volgens het bedrijf heeft de combinatie van geavanceerde taalmodellen, reproduceerbare testinfrastructuur en menselijke verificatie geleid tot een niveau van betrouwbaarheid dat enkele jaren geleden nog onhaalbaar werd geacht.

Met de huidige resultaten positioneert Mozilla zich nadrukkelijk als een van de eerste grote softwareontwikkelaars die AI op grote schaal inzet voor praktische beveiligingsanalyse van een complexe consumentenapplicatie zoals een webbrowser.

Door: Drifter