L’AI sta cambiando chi decide quali software entrano nella tua organizzazione

L’AI è diventata parte integrante dello sviluppo software quotidiano. Dalla generazione di API e scrittura di test alla creazione di intere applicazioni, gli assistenti di codifica stanno aiutando i team di ingegneria a risolvere problemi e consegnare software più velocemente che mai. I guadagni di produttività sono innegabili e le organizzazioni stanno adottando rapidamente l’AI in tutto il ciclo di vita dello sviluppo software.

Gran parte della conversazione si è concentrata sul codice generato dall’AI. I developer possono fidarsi del codice generato dall’AI? Introduce vulnerabilità? Come dovrebbero essere esaminati i team di sicurezza? Queste domande sono importanti, ma non sono il cambiamento più grande che l’AI sta portando allo sviluppo software. L’AI è andata oltre la semplice generazione di codice e sta influenzando sempre più le prime decisioni di selezione software che danno forma a quale software entra in un’organizzazione.

Gli assistenti di codifica AI raramente costruiscono applicazioni da zero e compongono soluzioni utilizzando framework esistenti, librerie open-source, SDK, immagini di container e ecosistemi di pacchetti. Ogni raccomandazione dà forma alla base software su cui un’applicazione è costruita, spesso prima che un developer esamini la prima riga di codice generato.

Per decenni, la prima decisione di fiducia nello sviluppo software è appartenuta quasi interamente ai developer, ma ora quell’assunzione inizia a cambiare. Sempre più, l’AI sta facendo la prima raccomandazione, mentre i developer convalidano il risultato in seguito. Quel cambiamento sottile ha implicazioni significative per la sicurezza della catena di approvvigionamento software perché ogni raccomandazione porta con sé una decisione di fiducia implicita.

Le organizzazioni hanno trascorso anni a governare come il software viene costruito, testato e distribuito. La prossima sfida è governare come il software viene selezionato in un ambiente di sviluppo nativo AI.

La prima decisione di fiducia

Ogni applicazione dipende da software creato da migliaia di contributori in innumerevoli progetti open-source. Prima di introdurre una nuova dipendenza, i developer solitamente valutavano la documentazione, confrontavano i framework, esaminavano l’adozione della comunità, esaminavano la frequenza di rilascio e consideravano se un progetto era maturo per la produzione. I developer non hanno sempre fatto la scelta giusta, ma ogni dipendenza è stata introdotta intenzionalmente.

Oggi, un developer può semplicemente chiedere a un assistente AI di “costruire un’API REST sicura con autenticazione e supporto PostgreSQL”. In pochi secondi, l’AI genera un progetto funzionante. Lungo la strada, raccomanda un runtime, seleziona un framework, fa riferimento a un’immagine di base del container, importa librerie di autenticazione, sceglie SDK e genera manifesti di dipendenza come package.json, requirements.txt o pom.xml. I gestori di pacchetti risolvono successivamente quelle dipendenze e le dipendenze transitive durante il processo di costruzione.

La maggior parte dei developer esamina l’applicazione che l’AI produce, ma solo pochi si fermano a esaminare ogni decisione software che l’AI prende lungo la strada. L’AI ha compresso la selezione del software che una volta richiedeva ore di ricerca in pochi secondi e sta sempre più facendo la prima raccomandazione per conto dei developer.

Ogni raccomandazione è una decisione di fiducia

Ogni artefatto software porta con sé la sua catena di fiducia. Una libreria ha manutentori, contributori, processi di rilascio, pratiche di firma, dipendenze e provenienza. Un’immagine del container eredita software dalle distribuzioni upstream e uno SDK introduce pacchetti aggiuntivi, estendendo quella catena di fiducia.

Una singola raccomandazione AI può rapidamente espandersi in centinaia di artefatti software che diventano parte di un’applicazione. L’open source ha sempre funzionato in questo modo. Ciò che sta cambiando è chi prende quelle decisioni di fiducia per primo. Storicamente, i developer hanno valutato e selezionato i componenti che si fidavano. Sempre più, i sistemi AI fanno le raccomandazioni iniziali, mentre i developer convalidano il risultato in seguito.

Sembra un piccolo cambiamento, ma cambia fondamentalmente come le organizzazioni dovrebbero pensare alla sicurezza della catena di approvvigionamento software.

L’AI ottimizza per il software funzionante, non per la fiducia organizzativa

Ciò non significa che l’AI stia facendo raccomandazioni sbagliate. Al contrario.

Gli assistenti di codifica AI sono bravi a raccomandare software perché hanno imparato da milioni di esempi di come i developer risolvono problemi simili. Di conseguenza, framework popolari, librerie ben supportate e modelli di implementazione familiari appaiono naturalmente nelle loro suggerimenti, ed è proprio questo che rende questi strumenti così preziosi.

Ma quegli obiettivi di ottimizzazione sono fondamentalmente diversi dalle domande che i team di sicurezza aziendale devono rispondere. L’AI non valuta inherentemente se un pacchetto è allineato con le politiche software dell’organizzazione, se un’immagine del container è stata ricostruita dalla fonte, se la provenienza del software è stata verificata o se una dipendenza proviene da una fonte software approvata.

Funzionalità, popolarità e probabilità sono segnali utili per generare codice, ma non dovrebbero mai essere utilizzati come sostituti della verifica.

Perché dobbiamo integrare a sinistra

Per anni, la sicurezza della catena di approvvigionamento software si è concentrata sull’identificazione del rischio dopo che il software è entrato nel processo di sviluppo. Gli scanner di vulnerabilità, l’analisi della composizione del software e le SBOM hanno migliorato notevolmente la visibilità nel software che le applicazioni contengono.

Quegli strumenti rimangono essenziali, ma affrontano una parte diversa del problema.

L’AI sposta la selezione del software molto più presto nel ciclo di vita dello sviluppo, quindi quando i controlli di sicurezza tradizionali iniziano la loro analisi, il progetto generato potrebbe già fare riferimento a dozzine di dipendenze che richiedono valutazione, rimedio o sostituzione. Le organizzazioni stanno ancora reagendo alle scelte software che sono già entrate nel flusso di lavoro di sviluppo.

È per questo che credo che le organizzazioni debbano integrare a sinistra.

L’idea dietro l’integrazione a sinistra è semplice: la fiducia dovrebbe essere stabilita prima che il software diventi parte di un’applicazione, non dopo. Man mano che l’AI diventa un partecipante attivo allo sviluppo software, quel principio diventa ancora più importante. La governance deve spostarsi nel punto in cui il software viene selezionato, non dove viene eventualmente esaminato.

Le organizzazioni devono definire fonti software attendibili, stabilire quali artefatti software l’AI è autorizzata a raccomandare e verificare quegli artefatti prima che diventino parte del flusso di lavoro di sviluppo. L’obiettivo è garantire che l’AI acceleri la consegna del software all’interno di limiti che riflettono gli standard di sicurezza, conformità e ingegneria dell’organizzazione.

Governare la selezione del software nell’era AI

Le organizzazioni già definiscono dove il software può essere eseguito, come viene distribuito e chi è autorizzato a rilasciarlo. Sempre più, dovranno anche definire quale software l’AI è autorizzata a raccomandare.

È qui che la postura della catena di approvvigionamento software diventa sempre più importante. Le organizzazioni devono avere fiducia non solo nel software che costruiscono, ma anche nel software che l’AI raccomanda per loro conto. Quella fiducia deriva dalla verifica, dalle fonti software attendibili e dalla governance che inizia prima che il software entri nel flusso di lavoro di sviluppo.

L’AI continuerà a trasformare lo sviluppo software e giustamente così. I guadagni di produttività sono troppo significativi per essere ignorati, ma man mano che le organizzazioni adottano lo sviluppo nativo AI, devono riconoscere che la selezione del software sta diventando sempre più automatizzata.

Le organizzazioni che avranno successo saranno quelle che stabiliranno fonti software attendibili, verificheranno gli artefatti software che l’AI raccomanda e integreranno la governance nella selezione del software fin dall’inizio.

L’AI sta cambiando come il software viene scritto, ma ora, più importante, sta cambiando come il software viene scelto. Perché nell’era AI, il software in cui si ha fiducia dipende sempre più dal software che l’AI sceglie per primo.