Η ασφάλεια της ΤΝ χρειάζεται μια δεύτερη γνώμη

Η ΤΝ γράφει λογισμικό ταχύτερα απ’ όσο μπορούμε να το ασφαλίσουμε. Προλαβαίνετε;

Μέχρι να τελειώσετε αυτή την πρόταση, οι προγραμματιστές και οι πράκτορες ΤΝ τους θα έχουν υποβάλει μερικές χιλιάδες αλλαγές κώδικα. Την ίδια περίοδο πέρυσι, ο αριθμός θα ήταν περίπου 150.

Τον τελευταίο χρόνο, η παραγωγή λογισμικού από ΤΝ επιταχύνθηκε σε εντυπωσιακό βαθμό. Το GitHub κατέγραψε 7,38 δισεκατομμύρια αλλαγές κώδικα μόνο τον Σεπτέμβριο του 2026, αριθμό πάνω από πέντε φορές μεγαλύτερο από το σύνολο της προηγούμενης χρονιάς. Οι επιπτώσεις αυτής της έκρηξης στην ασφάλεια είναι σημαντικές. Κάποιος πρέπει να κατανοήσει, να συντηρήσει και να ασφαλίσει καθεμία από αυτές τις αλλαγές κώδικα. Η Συμμαχία για την Ασφάλεια στο Cloud διαπίστωσε ότι οι προγραμματιστές με τη βοήθεια ΤΝ σε εταιρείες Fortune 50 υποβάλλουν κώδικα με τριπλάσιο έως τετραπλάσιο ρυθμό από τους συναδέλφους τους, ενώ τα μηνιαία ευρήματα ασφαλείας τους αυξήθηκαν περίπου δέκα φορές.

Ας δούμε τώρα ποιος επωμίζεται αυτή την αύξηση. Η ομάδα του CISO έχει το ίδιο μέγεθος με πέρυσι, αλλά οι εκκρεμότητες όχι. Οι αναφορές ευπαθειών αυξάνονται, οι μηνιαίες διορθώσεις μειώνονται και οι ανεπίλυτες κρίσιμες ευπάθειες πληθαίνουν. Δεν είναι παράξενο που, σύμφωνα με την Gartner, η επαγγελματική εξουθένωση των CISO εξελίσσεται σε κρίσιμο λειτουργικό κίνδυνο.

Ο πειρασμός του πιο πρόσφατου μοντέλου

Όταν ο αριθμός είναι τόσο μεγάλος, το ένστικτο λέει να επιδιώξουμε έναν ακόμη μεγαλύτερο: περισσότερα ευρήματα, ευρύτερη κάλυψη, περισσότερες σαρώσεις. Αυτό όμως είναι σαν να βγάζεις νερό από ένα σκάφος που βυθίζεται και να ζητάς μεγαλύτερο κουβά, ενώ αυτό που χρειάζεσαι είναι να εντοπίσεις τη διαρροή. Η αποτελεσματικότητα ενός προγράμματος ασφάλειας δεν μετριέται από το πόσα εντοπίζει. Μετριέται από το πόσα από όσα εντοπίζει είναι πραγματικά και από το πόσα από τα πιο κρίσιμα ευρήματα διορθώνονται πράγματι.

Τα πρωτοποριακά μοντέλα ΤΝ είναι εξαιρετικά στον εντοπισμό νέων τρόπων εκμετάλλευσης και μη καταγεγραμμένων αδυναμιών, χάρη στην πιθανοκρατική συλλογιστική τους. Ωστόσο, τα αποτελέσματα ποικίλλουν. Αν εκτελέσετε την ίδια σάρωση στον ίδιο κώδικα πέντε φορές, τα ευρήματα συμπίπτουν μόνο περίπου στο ένα τρίτο των περιπτώσεων, σύμφωνα με την έρευνα της Checkmarx.

Αυτή η ασυνέπεια είναι ο λόγος που η ανάλυση βάσει κανόνων εξακολουθεί να έχει σημασία. Είναι λιγότερο ευέλικτη από την πρωτοποριακή ΤΝ, αλλά εφαρμόζει δοκιμασμένη λογική με τον ίδιο τρόπο κάθε φορά, ώστε οι ομάδες να μπορούν να εμπιστεύονται και να επαληθεύουν τα αποτελέσματα. Η ΤΝ εντοπίζει όσα διαφεύγουν από τους κανόνες, όπως γνωστές αδυναμίες σε άγνωστες μορφές ή ελαττώματα που γίνονται εκμεταλλεύσιμα μόνο όταν αλληλεπιδρούν διαφορετικά τμήματα του κώδικα. Μαζί, η ΤΝ και η ανάλυση βάσει κανόνων εντοπίζουν περισσότερα από όσα έχουν σημασία, με λιγότερους ψευδείς συναγερμούς.

Τίποτε από αυτά δεν αποτελεί επιχείρημα κατά της ΤΝ. Είναι επιχείρημα υπέρ της ανάγκης για μια δεύτερη γνώμη στην ασφάλεια. Όποια μηχανή κι αν επιλέξετε, αξιολογήστε την με βάση τρία ερωτήματα.

Ερώτημα πρώτο: Πιστότητα

Όταν ο σαρωτής εντοπίζει ένα πρόβλημα, αξίζει να ασχοληθείτε μαζί του;

Η πιστότητα σημαίνει αξιοπιστία. Ένα ανύπαρκτο εύρημα κοστίζει στον προγραμματιστή ένα απόγευμα και στερεί από την ομάδα ασφάλειας λίγη ακόμη αξιοπιστία. Σε μεγάλη κλίμακα, τα ψευδώς θετικά είναι αυτά που κάνουν τις ομάδες να πάψουν να ακούν. Οι ειδοποιήσεις γίνονται σαν τον βοσκό που φώναζε «λύκος» και χάνονται μέσα στον θόρυβο του παρασκηνίου.

Εδώ έχει σημασία η συνέπεια. Η ντετερμινιστική ανάλυση δίνει την ίδια απάντηση κάθε φορά για τον ίδιο κώδικα, γεγονός που ενισχύει την εμπιστοσύνη και επιτρέπει τον έλεγχο των αποτελεσμάτων.

Ερώτημα δεύτερο: Ακρίβεια

Εντοπίζετε το πλήρες σύνολο των σημαντικότερων προβλημάτων;

Η πιστότητα σάς δείχνει αν ένα εύρημα αξίζει τον χρόνο σας, αλλά όχι τι διέφυγε από τον σαρωτή. Χρησιμοποιούμε ένα πρακτικό μέτρο με αφετηρία την επιστήμη δεδομένων, που ονομάζεται βαθμολογία F1. Η βαθμολογία F1 αξιολογεί τις επιδόσεις σε κλίμακα από 1 έως 0, με βάση δύο παράγοντες:

• Ακρίβεια: το ποσοστό των αναφερόμενων ευρημάτων που είναι πραγματικά. Υψηλή ακρίβεια σημαίνει λιγότερους ψευδείς συναγερμούς.
• Ανάκληση: το ποσοστό των πραγματικών ευπαθειών που εντοπίζει πράγματι ο σαρωτής. Υψηλή ανάκληση σημαίνει ότι ελάχιστες ευπάθειες διαφεύγουν.

Ένας σαρωτής μπορεί να φαίνεται ακριβής επισημαίνοντας σχεδόν τίποτα ή διεξοδικός επισημαίνοντας τα πάντα, αλλά και στις δύο περιπτώσεις οι βαθμολογίες F1 είναι χαμηλές. Ο μέσος όρος του κλάδου είναι περίπου 0,20. Εργαζόμαστε εντατικά για να αντιμετωπίσουμε αυτή την πρόκληση και έχουμε πετύχει αποτελέσματα με ακρίβεια τρεις έως τέσσερις φορές μεγαλύτερη από εκείνη ενός τυπικού σαρωτή.

Η μεγαλύτερη ακρίβεια διευκολύνει όλα τα επόμενα βήματα για τους προγραμματιστές. Η ομάδα σας αφιερώνει λιγότερο χρόνο στην επαλήθευση και περισσότερο στις διορθώσεις.

Ερώτημα τρίτο: Απόδοση επένδυσης (ROI)

Πώς μεγιστοποιούμε την επένδυση και τους πόρους;

Αυτό είναι το ερώτημα που παραλείπεται συχνότερα κατά τη δοκιμαστική εφαρμογή και απαντάται με τον πιο οδυνηρό τρόπο στην παραγωγή.

Τα πρωτοποριακά μοντέλα χρεώνουν ανά διακριτικό, και τα διακριτικά καταναλώνονται είτε η σάρωση εντοπίσει κάτι είτε όχι. Η σάρωση ενός αποθετηρίου με ένα εκατομμύριο γραμμές κώδικα κοστίζει πάνω από χίλια δολάρια με βάση τις τρέχουσες δημοσιευμένες τιμές. Επιπλέον, η κατανάλωση διακριτικών διαφέρει σημαντικά μεταξύ των μοντέλων· η τιμή ποικίλλει ανάλογα με το μοντέλο που θα επιλέξετε και τον συλλογισμό που απαιτείται για να ολοκληρώσει την εργασία σας.

Πολλαπλασιάστε το κόστος αυτό για κάθε αλλαγή κώδικα, αίτημα ενσωμάτωσης και αποθετήριο μιας επιχείρησης. Η Uber, η οποία δαπανά 3,4 δισεκατομμύρια δολάρια ετησίως για έρευνα και ανάπτυξη (R&D), φέρεται να εξάντλησε ολόκληρο τον προϋπολογισμό της για την ΤΝ το 2026 μέσα σε λίγους μήνες από την εισαγωγή εργαλείων προγραμματισμού με ΤΝ.

Το αποκαλούμε «φόρο των token». Είναι σαν να παίρνεις μια Ferrari για να πας για ψώνια: πληρώνεις για ισχύ που δεν χρειάζεται η διαδρομή. Τα hardcoded διαπιστευτήρια και οι επιθέσεις SQL injection ακολουθούν προβλέψιμα μοτίβα, τα οποία καλύπτει αξιόπιστα η ντετερμινιστική ανάλυση.

Η ασφάλεια εφαρμογών πρέπει να εξελιχθεί

Αυτός είναι ο συλλογισμός πίσω από την αρχιτεκτονική του Checkmarx Fusion. Οι μηχανές που βασίζονται σε κανόνες καθορίζουν μια αδιαμφισβήτητη βάση αναφοράς, με αναπαραγώγιμο τρόπο και χαμηλότερο κόστος από την ανάλυση που βασίζεται σε token. Τα μοντέλα αιχμής εστιάζουν σε όσα δεν μπορούν να προβλέψουν οι κανόνες: νέα μοτίβα, σύνθετη λογική και δυνατότητα εκμετάλλευσης στο εκάστοτε πλαίσιο. Στη συνέχεια, ένα επίπεδο ανάλυσης ευρημάτων συνδυάζει τα αποτελέσματα σε ένα ενιαίο, αξιόπιστο σύνολο.

Η ντετερμινιστική ανάλυση προσφέρει βεβαιότητα. Η τεχνητή νοημοσύνη προσφέρει μεγαλύτερη εμβέλεια. Η κάλυψη και η αξιοπιστία αυξάνονται μαζί. Σε σύγκριση με ένα LLM που λειτουργεί μόνο του, βλέπουμε έως και τετραπλάσια πιστότητα, διπλάσια έως τετραπλάσια ακρίβεια και περίπου το ένα τρίτο του κόστους.

Ο εντοπισμός προβλημάτων είναι μόνο η αρχή. Η ίδια λογική ισχύει και για την πρόληψή τους. Ας δούμε ένα παράδειγμα. Ενδυναμώνοντας τους προγραμματιστές τη στιγμή που γράφουν τον κώδικα, μέσα στο IDE όπου εργάζονται, μπορούμε να σταματήσουμε τα προβλήματα προτού καν εμφανιστούν. Αντίστοιχα, για τις ευπάθειες που τελικά περνούν, γιατί να μην παρέχουμε στους προγραμματιστές διορθώσεις έτοιμες για συγχώνευση, για τις ευπάθειες που έχουν τη μεγαλύτερη σημασία; Αυτές είναι οι προκλήσεις που αντιμετωπίζουμε, με στόχο να μειώσουμε σταδιακά τις υπάρχουσες εκκρεμότητες και να πετύχουμε τον ταχύτερο δυνατό αντίκτυπο με τη μικρότερη δυνατή προσπάθεια.

Ο κώδικας εκτελείται. Μπορείτε να συμβαδίσετε;

Η τεχνητή νοημοσύνη χάρισε στους επιτιθέμενους το πλεονέκτημα της ταχύτητας. Για να γεφυρωθεί αυτό το χάσμα, δεν αρκεί άλλο ένα εργαλείο. Χρειάζεται να αποφασίσετε πώς θα αναπτύσσει και θα ασφαλίζει λογισμικό ολόκληρος ο οργανισμός σας. Ο κώδικας που γράφεται σήμερα θα λειτουργεί την επιχείρησή σας για χρόνια. Το ερώτημα για τους επικεφαλής ασφάλειας δεν είναι πλέον πόσο ταχύτερα σας βοηθά η τεχνητή νοημοσύνη να αναπτύσσετε λογισμικό. Είναι αν τα προγράμματά σας μπορούν να συμβαδίσουν με όσα δημιουργεί.

Μην παρασυρθείτε, λοιπόν, από τους αριθμούς. Κάντε τρεις ερωτήσεις για κάθε πρόγραμμα: Μπορώ να εμπιστευτώ όσα εντοπίζει; Εντοπίζει αρκετά από όσα έχουν σημασία; Είναι ρεαλιστικό να εφαρμοστεί σε ολόκληρο τον οργανισμό μου; Ο συνδυασμός της ντετερμινιστικής ακρίβειας με τη συλλογιστική των μοντέλων αιχμής σάς δίνει τις καλύτερες πιθανότητες να απαντήσετε «ναι» και στις τρεις ερωτήσεις.

Το λογισμικό δεν επιβραδύνει. Η δουλειά μας τώρα είναι να γεφυρώσουμε το χάσμα κινδύνου: την απόσταση ανάμεσα στον ρυθμό δημιουργίας λογισμικού και στον ρυθμό εντοπισμού και αποκατάστασης των κινδύνων.