AI Mengubah Siapa yang Memutuskan Perangkat Lunak yang Masuk ke Organisasi Anda

AI telah menjadi bagian dari pengembangan perangkat lunak sehari-hari. Dari menghasilkan API dan menulis tes hingga membangun aplikasi secara keseluruhan, asisten pengkodean membantu tim insinyur memecahkan masalah dan mengirimkan perangkat lunak lebih cepat dari sebelumnya. Keuntungan produktivitas tidak dapat disangkal, dan organisasi dengan cepat mengadopsi AI di seluruh siklus hidup pengembangan perangkat lunak.

Sebagian besar percakapan telah fokus pada kode yang dihasilkan AI. Apakah pengembang dapat mempercayai kode yang dihasilkan AI? Apakah itu memperkenalkan kerentanan? Bagaimana tim keamanan harus meninjauinya? Pertanyaan-pertanyaan itu penting, tetapi mereka bukan perubahan terbesar yang dibawa AI ke pengembangan perangkat lunak. AI telah melampaui kemampuan untuk menghasilkan kode, dan sekarang semakin mempengaruhi keputusan seleksi perangkat lunak pertama yang membentuk perangkat lunak yang memasuki suatu organisasi.

Asisten pengkodean AI jarang membangun aplikasi dari awal, dan mereka menyusun solusi menggunakan kerangka kerja yang ada, perpustakaan sumber terbuka, SDK, gambar wadah, dan ekosistem paket. Setiap rekomendasi membentuk fondasi perangkat lunak yang aplikasi dibangun, sering sebelum pengembang meninjau baris kode yang dihasilkan pertama.

Selama beberapa dekade, keputusan kepercayaan pertama dalam pengembangan perangkat lunak hampir sepenuhnya milik pengembang, tetapi sekarang asumsi itu mulai berubah. Semakin banyak, AI membuat rekomendasi pertama, sementara pengembang memvalidasi hasilnya kemudian. Perubahan halus itu memiliki implikasi signifikan untuk keamanan rantai pasokan perangkat lunak karena setiap rekomendasi membawa keputusan kepercayaan yang tersirat.

Organisasi telah menghabiskan tahun-tahun untuk mengatur bagaimana perangkat lunak dibangun, diuji, dan diterapkan. Tantangan berikutnya adalah mengatur bagaimana perangkat lunak dipilih dalam lingkungan pengembangan asli AI.

Keputusan Kepercayaan Pertama

Setiap aplikasi bergantung pada perangkat lunak yang dibuat oleh ribuan kontributor di seluruh proyek sumber terbuka. Sebelum memperkenalkan ketergantungan baru, pengembang biasanya mengevaluasi dokumentasi, membandingkan kerangka kerja, meninjau adopsi komunitas, memeriksa keteraturan rilis, dan mempertimbangkan apakah proyek sudah matang untuk produksi. Pengembang tidak selalu membuat pilihan yang tepat, tetapi setiap ketergantungan diperkenalkan secara sengaja.

Hari ini, pengembang dapat dengan mudah meminta asisten AI untuk “membangun API REST yang aman dengan autentikasi dan dukungan PostgreSQL.” Dalam beberapa detik, AI menghasilkan proyek yang berfungsi. Di sepanjang jalan, AI merekomendasikan runtime, memilih kerangka kerja, merujuk gambar wadah dasar, mengimpor perpustakaan autentikasi, memilih SDK, dan menghasilkan manifest ketergantungan seperti package.json, requirements.txt, atau pom.xml. Pengelola paket kemudian menyelesaikan ketergantungan dan ketergantungan transitive mereka selama proses pembangunan.

Sebagian besar pengembang meninjau aplikasi yang dihasilkan AI, tetapi hanya beberapa berhenti untuk mengeksaminasi setiap keputusan perangkat lunak yang AI buat di sepanjang jalan. AI telah mengompresi seleksi perangkat lunak yang sebelumnya membutuhkan jam-jam penelitian menjadi detik-detik dan semakin membuat rekomendasi pertama atas nama pengembang.

Setiap Rekomendasi Adalah Keputusan Kepercayaan

Setiap artefak perangkat lunak membawa rantai kepercayaan sendiri. Perpustakaan memiliki pemelihara, kontributor, proses rilis, praktik penandatanganan, ketergantungan, dan provenansi. Gambar wadah mewarisi perangkat lunak dari distribusi hulu, dan SDK memperkenalkan paket tambahan, masing-masing memperluas rantai kepercayaan itu.

Satu rekomendasi AI dapat dengan cepat berkembang menjadi ratusan artefak perangkat lunak yang menjadi bagian dari aplikasi. Sumber terbuka selalu bekerja dengan cara ini. Apa yang berubah adalah siapa yang membuat keputusan kepercayaan itu pertama. Secara historis, pengembang mengevaluasi dan memilih komponen yang mereka percayai. Semakin banyak, sistem AI membuat rekomendasi awal, sementara pengembang memvalidasi hasilnya kemudian.

Terkesan seperti perubahan kecil, tetapi itu secara fundamental mengubah cara organisasi harus memikirkan keamanan rantai pasokan perangkat lunak.

AI Mengoptimalkan untuk Perangkat Lunak yang Berfungsi, Bukan Kepercayaan Organisasi

Tidak berarti AI membuat rekomendasi yang buruk. Sebaliknya.

Asisten pengkodean AI baik dalam merekomendasikan perangkat lunak karena mereka telah belajar dari jutaan contoh bagaimana pengembang memecahkan masalah serupa. Akibatnya, kerangka kerja populer, perpustakaan yang didukung dengan baik, dan pola implementasi yang familiar secara alami muncul dalam saran mereka, dan itulah yang membuat alat-alat ini sangat berharga.

Tetapi tujuan optimisasi itu secara fundamental berbeda dari pertanyaan yang tim keamanan perusahaan butuhkan jawabannya. AI tidak secara inheren mengevaluasi apakah paket sesuai dengan kebijakan perangkat lunak organisasi, apakah gambar wadah dibangun kembali dari sumber, apakah provenansi perangkat lunak telah diverifikasi, atau apakah ketergantungan berasal dari sumber perangkat lunak yang disetujui.

Fungsi, popularitas, dan probabilitas adalah sinyal yang berguna untuk menghasilkan kode, tetapi mereka tidak boleh digunakan sebagai pengganti verifikasi.

Mengapa Kita Perlu Mengintegrasikan Kiri

Selama bertahun-tahun, keamanan rantai pasokan perangkat lunak telah fokus pada mengidentifikasi risiko setelah perangkat lunak telah memasuki proses pengembangan. Pemindai kerentanan, Analisis Komposisi Perangkat Lunak, dan SBOM telah secara dramatis meningkatkan visibilitas ke dalam perangkat lunak yang aplikasi miliki.

Alat-alat tersebut tetap penting, tetapi mereka menangani bagian lain dari masalah.

AI memindahkan seleksi perangkat lunak jauh lebih awal dalam siklus hidup pengembangan, sehingga pada saat kontrol keamanan tradisional mulai menganalisis, proyek yang dihasilkan mungkin sudah merujuk pada puluhan ketergantungan yang sekarang memerlukan evaluasi, perbaikan, atau penggantian. Organisasi masih bereaksi terhadap pilihan perangkat lunak yang sudah memasuki alur kerja pengembangan.

Inilah mengapa saya percaya organisasi perlu Mengintegrasikan Kiri.

Gagasan di balik Mengintegrasikan Kiri sederhana: kepercayaan harus ditetapkan sebelum perangkat lunak menjadi bagian dari aplikasi, bukan setelahnya. Ketika AI menjadi peserta aktif dalam pengembangan perangkat lunak, prinsip itu menjadi semakin penting. Pemerintahan harus pindah ke titik di mana perangkat lunak dipilih, bukan di mana akhirnya dipindai.

Organisasi perlu mendefinisikan sumber perangkat lunak yang dipercaya, menetapkan artefak perangkat lunak yang AI diizinkan untuk merekomendasikan, dan memverifikasi artefak tersebut sebelum mereka menjadi bagian dari alur kerja pengembangan. Tujuan adalah untuk memastikan AI mempercepat pengiriman perangkat lunak dalam batasan yang mencerminkan standar keamanan, kepatuhan, dan teknik organisasi.

Mengatur Seleksi Perangkat Lunak di Era AI

Organisasi sudah mendefinisikan di mana perangkat lunak dapat dijalankan, bagaimana itu diterapkan, dan siapa yang berwenang untuk merilisnya. Semakin banyak, mereka juga akan perlu mendefinisikan perangkat lunak yang AI diizinkan untuk merekomendasikan.

Inilah di mana Postur Rantai Pasokan Perangkat Lunak menjadi semakin penting. Organisasi perlu memiliki kepercayaan tidak hanya pada perangkat lunak yang mereka bangun, tetapi juga pada perangkat lunak yang AI rekomendasikan atas nama mereka. Kepercayaan itu datang dari verifikasi, sumber perangkat lunak yang dipercaya, dan pemerintahan yang dimulai sebelum perangkat lunak memasuki pipa pengembangan.

AI akan terus mengubah pengembangan perangkat lunak, dan itu benar. Keuntungan produktivitas terlalu signifikan untuk diabaikan, tetapi ketika organisasi mengadopsi pengembangan asli AI, mereka harus mengakui bahwa seleksi perangkat lunak menjadi semakin otomatis.

Organisasi yang berhasil akan menjadi mereka yang menetapkan sumber perangkat lunak yang dipercaya, memverifikasi artefak perangkat lunak yang AI rekomendasikan, dan mengintegrasikan pemerintahan ke dalam seleksi perangkat lunak dari awal.

AI mengubah cara perangkat lunak ditulis, tetapi sekarang, lebih penting lagi, itu mengubah cara perangkat lunak dipilih. Karena di era AI, perangkat lunak yang Anda percayai semakin bergantung pada perangkat lunak yang AI Anda pilih pertama.