Γιατί ο κώδικας που δημιουργείται από το AI καταστρέφει το μοντέλο διαχείρισης ευπαθειών σας

Οι γεννήτορες κώδικα AI έχουν κάνει κάτι που τα εργαλεία DevOps δεν κατάφεραν ποτέ να κάνουν: έκαναν δυνατό να κυκλοφορήσουν χαρακτηριστικά σε quelques ημέρες που παλιά πήρε εβδομάδες. Το πρόβλημα είναι ότι η ταχύτητα ισχύει εξίσου για τις ευπαθειές.

Σε όλη τη διάρκεια της καριέρας μου στην κυβερνοασφάλεια, έχω δει οργανισμούς να περνούν από το ίδιο αντιδραστικό μοτίβο: ανακαλύπτουν μια ευπάθεια, αγωνίζονται να κατανοήσουν το πεδίο της, επιχειρούν να καθορίσουν ποιος είναι υπεύθυνος για την επιδιόρθωση και τελικά την επιδιορθώνουν μετά από εβδομάδες ή μήνες. Το AI δεν έχει αλλάξει αυτό το μοτίβο. Το έχει επιταχύνει σε τέτοιο βαθμό που το παλιό μοντέλο δεν μπορεί πλέον να跟ψει. Ο μέσος όρος χρόνος επιδιόρθωσης για κρίσιμες CVEs είναι πάνω από 60 ημέρες. Η ανάπτυξη με τη βοήθεια του AI δεν σας δίνει 60 ημέρες. Σας δίνει einen νέο κώδικα κάθε sprint.

Το πρόβλημα εξάρτησης είναι τώρα ένα πρόβλημα AI

Εκατό ενενηκόσι έξι τοις εκατό των εταιρικών εφαρμογών περιλαμβάνουν ανοιχτού κώδικα συστατικά. Τα περισσότερα δεν ελέγχθηκαν ποτέ αυστηρά, αλλά τραβήχθηκαν από δημόσιους καταλόγους επειδή λειτουργούσαν και κάποιος τα χρειαζόταν εκείνη την tarde. Οι ομάδες ασφαλείας έχουν χάσει έδαφος σε αυτό για χρόνια, και οι βοηθοί κώδικα AI έχουν μετατρέψει μια αργή αιμορραγία σε κάτι πολύ πιο δύσκολο να ελεγχθεί.

Όταν ένας προγραμματιστής γράφει κώδικα με το χέρι, λαμβάνει σκόπιμες αποφάσεις σχετικά με τις εξαρτήσεις. Όταν ένα μοντέλο AI γεννήτει κώδικα, τραβεί από ότι έχει εκπαιδευτεί. Αυτό συχνά σημαίνει ότι υπάρχουν φανταστικά πακέτα, παλιές εκδόσεις ή συστατικά με γνωστές CVEs που το μοντέλο δεν είχε κανένα λόγο να αποφύγει. Ο κώδικας φαίνεται καθαρός. Το ρίσκο είναι ενσωματωμένο στο δέντρο εξαρτήσεων,หลาย στρώσεις κάτω, αόρατο σε οποιονδήποτε δεν ψάχνει ειδικά για αυτό.

Έχω καθίσει σε αναθεωρήσεις ασφαλείας όπου οι ομάδες были шокированы όταν βρήκαν μια κρίσιμη CVE σε μια μεταβατική εξάρτηση ενός πακέτου που είχαν εγκρίνει几个 μήνες πριν. Το πακέτο ήταν εντάξει. Αυτό που το έπulled ήταν όχι. Αυτή η δυναμική συμβαίνει τώρα σε κλίμακα μηχανής, σε εκατοντάδες προγραμματιστές που χρησιμοποιούν εργαλεία AI που δεν έχουν概念 της ασφάλειας του οργανισμού.

Η σάρωση μετά το γεγονός δεν είναι στρατηγική

Το κυρίαρχο μοντέλο για την ασφάλεια του ανοιχτού κώδικα είναι scan-and-patch: τρέχετε einen σαρωτή, αναλύετε τα αποτελέσματα, αναθέτετε tickets και περιμένετε. Αυτό το μοντέλο ήταν πάντα αντιδραστικό, και σε ένα περιβάλλον ανάπτυξης που επιταχύνεται από το AI, είναι完全 outpaced.

Οι σαρωτές βρίσκουν προβλήματα μετά από αυτά ήδη στο κώδικα σας. Το παράθυρο μεταξύ εισαγωγής και ανακάλυψης είναι όπου ζει η έκθεσή σας. Όταν το AI γεννήτει κώδικα σε κλίμακα, αυτό το παράθυρο γίνεται ευρύτερο και ο όγκος των ευρημάτων αυξάνεται γρηγορότερα από ό,τι οποιαδήποτε ομάδα μπορεί να επιδιορθώσει χειροκίνητα. Το αποτέλεσμα είναι ένα backlog CVE που επεκτείνεται αορίστως, prioritação που γίνεται τυχαία και προγραμματιστές που ξοδεύουν 4 έως 8 ώρες ανά ευπάθεια σε δουλειά που παράγει μηδέν επιχειρηματική αξία.

Προσθέστε τις διακοπές διακυβέρνησης που ακολουθούν και η εικόνα γίνεται χειρότερη. Η ιδιοκτησία της επιδιόρθωσης είναι συχνά ασαφής. Η ασφάλεια σημαδεύει μια CVE, η μηχανική το ονομάζει ερώτηση ρύθμισης και η λειτουργία το ονομάζει πρόβλημα κώδικα. Είδα αυτό το μοτίβο 20 χρόνια πριν και δεν έχει πάει đâu. Το AI κάνει τις συνέπειες αυτής της αμφιβολίας σημαντικά πιο δύσκολο να απορροφηθούν.

Η μετατόπιση που λειτουργεί πραγματικά: Ελέγξτε τι μπαίνει μέσα

Οι οργανισμοί που προηγούνται σε αυτό έχουν σταματήσει να προσπαθούν να σαρώσουν τον δρόμο τους προς την ασφάλεια και έχουν αρχίσει να ελέγχουν τι μπορούν οι προγραμματιστές και τα εργαλεία AI να καταναλώσουν από την αρχή. Το μηχανισμό είναι ένας κατηλογοποιημένος, πολιτική-κυβερνώμενος κατάλογος ανοιχτού κώδικα συστατικών, κατασκευασμένος από την πηγή, συνεχώς παρακολουθούμενος και παρεχόμενος ως ιδιωτικός εσωτερικός κατάλογος που αντικαθιστά τις άμεσες τραβήγματα από δημόσιους οικοσυστήματα όπως PyPI, npm ή Maven.

Αυτή η προσέγγιση μετατοπίζει την ασφάλεια αριστερά με τον πιο κυριολεκτικό τρόπο. Οι ευπαθειές μπλοκάρονται στο σημείο κατανάλωσης, πριν μπουν ποτέ στην πipeline κατασκευής. Οι προγραμματιστές χρησιμοποιούν τα ίδια εργαλεία που έχουν πάντα χρησιμοποιήσει. Οι βοηθοί κώδικα AI επιλύουν εξαρτήσεις από την ίδια διακυβέρνηση πηγή. Η ομάδα ασφαλείας ορίζει πολιτική μία φορά, και αυτή η πολιτική ισχύει παντού, συμπεριλαμβανομένου και του κώδικα που παράγεται από ένα μοντέλο στις 2 π.μ. χωρίς κανέναν άνθρωπο να το ελέγχει.

Πώς φαίνεται αυτό στην πράξη

Για τους ηγέτες ασφαλείας που εργάζονται σε αυτό, υπάρχουν κάποια πράγματα που έχουν περισσότερη σημασία από οτιδήποτε άλλο:

1. Ορίστε το σύνολο των εγκεκριμένων συστατικών σας πριν από την κλίμακα της υιοθέτησης του AI. Αν τα εργαλεία κώδικα AI σας επιλύουν εξαρτήσεις από δημόσιους καταλόγους, η διαδικασία έγκρισης σας υπάρχει μόνο στο χαρτί. Καθορίστε έναν κατηλογοποιημένο εσωτερικό κατάλογο, οδηγήστε όλα μέσα από αυτόν και απαιτήστε ότι τα συστατικά θα κατασκευαστούν από την πηγή με επαλήθευση προελεύσεων.
2. Συμπεριφερθείτε στην επιδιόρθωση ως một διαχειριζόμενη διαδικασία, όχι ως μια ουρά tickets. Οι οργανισμοί που παραμένουν μπροστά στο χρέος CVE δεν κινητοποιούνται γρηγορότερα στην χειροκίνητη επιδιόρθωση. Έχουν αφαιρέσει την χειροκίνητη επιδιόρθωση από την εξίσωση. Όταν είναι διαθέσιμη μια εγκεκριμένη διόρθωση της κοινότητας, ξαναχτίζεται αυτόματα στον κατάλογο. Οι προγραμματιστές λαμβάνουν την ενημέρωση την επόμενη φορά που την τραβούν. Κανείς δεν αναθέτει ticket. Κανείς δεν περιμένει 60 ημέρες.
3. Χαρτογραφήστε την αλυσίδα εργαλείων AI σας στις υποχρεώσεις συμμόρφωσης πριν σας αναγκάσουν. Έχω δει ομάδες να χτίζουν σε εργαλεία AI για μήνες, μόνο για να χτυπήσουν ένα τοίχο όταν ένας πελάτης απαιτούσε συμμόρφωση με το FedRAMP ή απόδειξη SOC 2. Ο κατηλογοποιημένος κατάλογός σας είναι επίσης ο ιχνηλατικός χάρτης συμμόρφωσης. Τα SBOMs και τα αρχεία προελεύσεων πρέπει να παρέχονται με κάθε συστατικό, όχι να συναρμολογούνται αναδρομικά υπό πίεση προθεσμίας.
4. Αναθέστε σαφή ιδιοκτησία στο επίπεδο διακυβέρνησης, όχι στο επίπεδο tickets. Οι ομάδες που κινούνται ταχύτερα στην επιδιόρθωση δεν είναι αυτές με τους περισσότερους προγραμματιστές. Είναι αυτές όπου η ομάδα ασφαλείας ιδιοκτητεί την πολιτική, η ομάδα πλατφόρμας ιδιοκτητεί την παράδοση και καμία δεν περιμένει την άλλη να ενεργήσει.

Ασφάλεια που ενεργοποιεί αντί να μπλοκάρει

Υπάρχει μια επιμονή ότι η ασφάλεια και η ταχύτητα ανάπτυξης είναι σε θεμελιώδη αντίθεση. Δεν έχω ποτέ βρει αυτό να είναι αλήθεια όταν η ασφάλεια σχεδιάζεται στην διαδικασία αντί να προσαρμοστεί σε αυτήν. Οι προγραμματιστές που εργάζονται από ένα κατηλογοποιημένο σύνολο συστατικών κινούνται πραγματικά γρηγορότερα, επειδή δεν αμφιβάλλουν για τις εγκρίσεις, δεν περιμένουν τις αναθεωρήσεις ασφαλείας ή δεν καθαρίζουν ευπαθειές που θα μπορούσαν να μπλοκαριστούν ροής.

Οι οργανισμοί που θα πλοηγηθούν στην ανάπτυξη που οδηγείται από το AI χωρίς να συσσωρεύουν μη βιώσιμο χρέος ασφαλείας δεν είναι αυτοί που τρέχουν τους περισσότερους σαρωτές. Είναι αυτοί που έχουν λάβει μια σκόπιμη απόφαση να ελέγχουν τι μπαίνει στην αλυσίδα εφοδιασμού λογισμικού τους πριν γίνει ένα πρόβλημα ανταπόκρισης σε επεισόδια. Αυτή η απόφαση ανήκει στην ηγεσία. Τα εργαλεία για την εκτέλεση της υπάρχουν σήμερα.