Tekoälyluotu koodi on täällä jäädäkseen. Olemme turvattomampia sen seurauksena?

Ohjelmointi vuonna 2025 ei ole enää vaivannutonta koodin katkaisemista tai pitkien tuntien viettämistä virheiden etsimisessä. Se on kokonaan eri tunnelma. Tekoälyluotu koodi on tulevaisuuden tuotteiden koodin enemmistö, ja se on modernin kehittäjän välttämätön työkalu. Tätä kutsutaan “vibe-koodaukseksi”, ja tekoälyluodun koodin käyttö työkaluilla kuten Github Copilot, Amazon CodeWhisperer ja Chat GPT on tulevaisuudessa normi, ei poikkeus, rakennusajan lyhentämisessä ja tehokkuuden parantamisessa. Mutta aiheuttaako tekoälyluodun koodin käytön helppous turvallisuusriskin? Lisääkö tekoälyluotu koodi haavoittuvuuksia turvallisuusarkkitehtuuriin vai onko keinoja kehittäjille “vibe-koodata” turvallisesti?

“Turvallisuusloukkaukset tekoälyluodun koodin haavoittuvuuksien seurauksena on yksi vähiten keskustelluista aiheista tänään”, DeepSourcen perustaja Sanket Saurav sanoi. “On edelleen paljon koodia, jota alustat kuten Copilot tai Chat GPT luovat, eikä sitä tarkisteta ihmisten toimesta, ja turvallisuusloukkaukset voivat olla katastrofaalisia yrityksille, joita ne vaikuttavat.”

Avoin lähdekoodiin perustuvan alustan kehittäjä, joka käyttää staattista analyysiä koodin laadun ja turvallisuuden arvioinnissa, Saurav mainitsi SolarWinds-haavan vuonna 2020 esimerkkinä “jäävästä tapahtumasta”, jota yritykset voivat kokea, jos he eivät ole asentaneet oikeita turvallisuuden varmistimia tekoälyluodun koodin käytön aikana. “Staattinen analyysi mahdollistaa epäturvallisten koodimallien ja huonojen ohjelmointitapojen tunnistamisen”, Saurav sanoi.

Hyökkäys kirjastoa kautta

Tekoälyluodun koodin turvallisuusuhkat voivat olla kekseliäitä ja kohdistua kirjastoihin. Kirjastot ohjelmoinnissa ovat hyödyllisiä uudelleen käytettäviä koodinpätkiä, joita kehittäjät käyttävät ajan säästämiseksi koodin kirjoittamisessa.

Ne usein ratkaisevat säännöllisiä ohjelmointitehtäviä, kuten tietokantaoperaatioiden hallinnan, ja auttavat ohjelmoijia välttämään koodin uudelleenkirjoittamisen alusta alkaen.

Yksi tällainen uhka kirjastoja vastaan on “hallusinaatio”, jossa tekoälyluotu koodi osoittaa haavoittuvuuden käyttämällä kuvitteellisia kirjastoja. Toinen uudempi hyökkäyslinja tekoälyluotua koodia vastaan on “slopsquatting”, jossa hyökkääjät voivat kohdistaa suoraan kirjastoihin päästäkseen tietokantaan.

Näiden uhkien torjuminen vaatii ehkä enemmän tarkkaavaisuutta kuin “vibe-koodauksessa” on viitattu. Puhuessaan toimistostaan Université du Québec en Outaouais -yliopistosta, professori Rafael Khoury on seurannut tekoälyluodun koodin turvallisuuden kehitystä ja on varma, että uudet tekniikat parantavat sen turvallisuutta.

Vuonna 2023 julkaistussa tutkimuksessa professori Khoury tutki ChatGPT:n luoman koodin tuloksia ilman lisätietoja, mikä johti epäturvalliseen koodiin. Nuo olivat ChatGPT:n varhaiset päivät, ja Khoury on nyt optimistinen tulevaisuuden suhteen. “Siitä lähtien on ollut paljon tutkimusta, ja tulevaisuus näyttää strategialle, joka voisi johtaa parempiin tuloksiin”, Khoury sanoi ja lisäsi, että “turvallisuus paranee, mutta emme ole vielä päässeet siihen pisteeseen, jossa voimme antaa suoran ohjeen ja saada turvallisen koodin.”

Khoury kuvaili lupaavaa tutkimusta, jossa he loivat koodia ja lähettivät sen työkaluun, joka analysoi sitä haavoittuvuuksien osalta. Työkalun käyttämä menetelmä on nimeltään Finding Line Anomalies with Generative AI (FLAG lyhyesti).

“Nämä työkalut lähettävät FLAG-eja, jotka voivat osoittaa haavoittuvuuden rivillä 24, esimerkiksi, jonka kehittäjä voi sitten lähettää takaisin LLM:lle tietojen kanssa ja pyytää sitä tarkastelemaan ja korjaamaan ongelman”, hän sanoi.

Khoury ehdotti, että tämä edestakainen prosessi voi olla avainasemassa haavoittuvuuksien korjaamisessa. “Tämä tutkimus osoittaa, että viidellä iteraatiolla voidaan vähentää haavoittuvuuksia nollaan.”

Tämä sanottuna, FLAG-menetelmällä on omat ongelmansa, erityisesti se, että se voi aiheuttaa sekä vääräpositiivisia että vääränegatiivisia tuloksia. Lisäksi on rajoituksia siinä, kuinka pitkiä koodinpätkiä LLM:t voivat luoda, ja koodinpätkien yhdistäminen voi lisätä riskiä.

Ihminen silmällä pitäen

Jotkut “vibe-koodauksen” toimijat suosittelevat koodin jakamista ja varmistavat, että ihmiset ovat eturintamassa koodipohjan tärkeimmissä muokkauksissa. “Kun kirjoitat koodia, ajattele siitä committeja”, Windsurfin tuotejohtaja Kevin Hou sanoi ja kehui bite-sized-palasten viisautta.

“Jaa suuri projekti pienempiin osiin, jotka olisivat normaalisti commiteja tai pull-pyynnöksiä. Anna agentin rakentaa pienempiä osia, yksi erillinen ominaisuus kerrallaan. Tämä voi varmistaa, että koodin tuloste on hyvin testattu ja ymmärretty”, hän lisäsi.

Windsurf on lähestynyt yli 5 miljardia riviä tekoälyluotua koodia (edellisen nimensä Codeiumin kautta). Hou sanoi, että heidän vastasivat kaikkein painavimpaan kysymykseen: kehittäjät ovatko tietoisia prosessista.

“Tekoäly pystyy tekemään paljon muutoksia useisiin tiedostoihin samanaikaisesti, joten miten voimme varmistaa, että kehittäjä on todella ymmrtäväinen ja tarkastelee, mitä tapahtuu, eikä vain sokeasti hyväksy kaiken?” Hou kysyi ja lisäsi, että he olivat panostaneet voimakkaasti Windsurfin UX:ään “monilla intuitiivisilla tavoilla pysyäkseen täysin synkronissa siitä, mitä tekoäly tekee, ja pitääkseen ihmisen täysin silmällä pitäen.”

Joten kun “vibe-koodaus” tulee yhä suositummaksi, ihmiset silmällä pitäen on oltava varovaisia sen haavoittuvuuksista. “Hallusinaatiosta” “slopsquattingiin” kohdistuvat haasteet ovat todellisia, mutta ratkaisut ovat myös todellisia.

Uudet työkalut, kuten staattinen analyysi, iteraatiiviset parantamismenetelmät kuten FLAG ja huolellinen UX-suunnittelu, osoittavat, että turvallisuus ja nopeus eivät ole toisensa vastakohtia.

Avain on pitää kehittäjät osallistuneina, informoiduina ja hallinnassa. Oikeiden varmistimien ja “luota ja tarkista” -asenteen kanssa tekoälyavusteinen koodaus voidaan tehdä sekä vallankumoukselliseksi että vastuulliseksi.