AI เปลี่ยนแปลงผู้ตัดสินใจเกี่ยวกับซอฟต์แวร์ที่เข้าสู่องค์กรของคุณ

AI ได้กลายเป็นส่วนหนึ่งของการพัฒนาซอฟต์แวร์ในชีวิตประจำวัน ตั้งแต่การสร้าง API และเขียนการทดสอบไปจนถึงการสร้างแอปพลิเคชันทั้งหมด ผู้ช่วยการเขียนโค้ดกำลังช่วยให้ทีมวิศวกรแก้ปัญหาและจัดส่งซอฟต์แวร์ได้เร็วขึ้นกว่าเดิม ผลผลิตที่ไม่สามารถปฏิเสธได้ และองค์กรต่างๆ ได้รับการยอมรับ AI ทั่วทั้งวงจรชีวิตของการพัฒนาซอฟต์แวร์

ส่วนใหญ่ของการอภิปรายได้มุ่งเน้นไปที่โค้ดที่ AI สร้างขึ้น นักพัฒนาสามารถไว้วางใจ โค้ดที่สร้างโดย AI ได้หรือไม่? มันนำความไม่ปลอดภัยมาหรือไม่? วิธีการที่ทีมความปลอดภัยควรตรวจสอบมันคืออะไร? คำถามเหล่านั้นสำคัญ แต่พวกมันไม่ใช่การเปลี่ยนแปลงที่ใหญ่ที่สุดซึ่ง AI นำมาให้กับการพัฒนาซอฟต์แวร์ AI ได้พัฒนาไปไกลกว่าการสร้างโค้ด และตอนนี้มันกำลังมีอิทธิพลต่อการตัดสินใจเลือกซอฟต์แวร์ครั้งแรกที่กำหนดรูปแบบซอฟต์แวร์ที่เข้าสู่องค์กร

ผู้ช่วยการเขียนโค้ด AI ไม่เคยสร้างแอปพลิเคชันจากศูนย์ และพวกมันประกอบโซลูชันโดยใช้เฟรมเวิร์กที่มีอยู่แล้ว ห้องสมุดโอเพ่นซอร์ส SDK อิมเมจคอนเทนเนอร์ และระบบนิเวศของแพ็คเกจ ทุกคำแนะนำมีรูปแบบพื้นฐานซอฟต์แวร์ที่แอปพลิเคชันถูกสร้างขึ้น ซึ่งมักจะเกิดขึ้นก่อนที่นักพัฒนาจะตรวจสอบบรรทัดโค้ดที่สร้างโดย AI

ในช่วงหลายทศวรรษที่ผ่านมา การตัดสินใจครั้งแรกเกี่ยวกับการพัฒนาซอฟต์แวร์เป็นของนักพัฒนาส่วนใหญ่ แต่สมมติฐานนั้นเริ่มเปลี่ยนแปลงไป AI กำลังแนะนำครั้งแรก ในขณะที่นักพัฒนายืนยันผลลัพธ์หลังจากนั้น การเปลี่ยนแปลงเล็กๆ นี้มีผลกระทบอย่างมีนัยสำคัญต่อความปลอดภัยของซอฟต์แวร์ในช่องทางอุปทาน เนื่องจากทุกคำแนะนำมีการตัดสินใจเชื่อใจที่ไม่ชัดเจน

องค์กรได้ใช้เวลาหลายปีในการกำกับดูแลวิธีการสร้าง ซอฟต์แวร์ ทดสอบ และจัดวาง การท้าทายต่อไปคือการกำกับดูแลวิธีการเลือกซอฟต์แวร์ในสภาพแวดล้อมการพัฒนาที่มี AI เป็นเจ้าของ

การตัดสินใจครั้งแรกที่เชื่อใจ

ทุกแอปพลิเคชันพึ่งพาซอฟต์แวร์ที่สร้างโดยผู้ร่วมให้ข้อมูลหลายพันคนในโครงการโอเพ่นซอร์สที่ไม่สิ้นสุด ก่อนที่จะแนะนำการอาศัยพึ่งพาใหม่ นักพัฒนาจะประเมินเอกสารเปรียบเทียบเฟรมเวิร์ก ตรวจสอบการยอมรับของชุมชน ตรวจสอบความถี่ในการเผยแพร่ และพิจารณาว่าโครงการนั้นมีความเป็นมืออาชีพเพียงพอสำหรับการผลิตหรือไม่ นักพัฒนามักจะไม่ตัดสินใจที่ถูกต้อง แต่ทุกการอาศัยพึ่งพาได้รับการแนะนำอย่างตั้งใจ

วันนี้ นักพัฒนาสามารถสั่งให้ผู้ช่วย AI “สร้าง API REST ที่มีการรับรองความปลอดภัยและรองรับ PostgreSQL” ในเวลาไม่กี่วินาที AI จะสร้างโครงการที่ทำงานได้ ในระหว่างนั้น มันแนะนำรันไทม์ เลือกเฟรมเวิร์ก อ้างอิงอิมเมจคอนเทนเนอร์ฐาน นำเข้าไลบรารีการรับรองความปลอดภัย เลือก SDK และสร้างแมนิเฟสต์ความพึ่งพา เช่น package.json, requirements.txt หรือ pom.xml ผู้จัดการแพ็คเกจจะแก้ไขความพึ่งพาและความพึ่งพาที่ส่งผ่านระหว่างกระบวนการสร้าง

นักพัฒนาส่วนใหญ่จะตรวจสอบแอปพลิเคชันที่ AI สร้างขึ้น แต่มีเพียงไม่กี่คนที่หยุดพิจารณาการตัดสินใจซอฟต์แวร์ที่ AI ตัดสินใจตลอดทาง AI ได้บีบอัดการคัดเลือกซอฟต์แวร์ที่ใช้เวลาหลายชั่วโมงในการวิจัยลงในเวลาไม่กี่วินาที และมันแนะนำครั้งแรกแทนผู้พัฒนา

ทุกคำแนะนำคือการตัดสินใจที่เชื่อใจ

ทุกอาร์ติแฟ็กต์ซอฟต์แวร์นำห่วงโซ่ความเชื่อใจมาให้ ไลบรารีมีผู้ดูแล ผู้ร่วมให้ข้อมูล กระบวนการเผยแพร่ การลงนาม ความพึ่งพา และประวัติการใช้งาน อิมเมจคอนเทนเนอร์มรดกซอฟต์แวร์จากกระบวนการกระจายต่อเนื่อง และ SDK นำแพ็คเกจเพิ่มเติมมา ซึ่งยืดห่วงโซ่ความเชื่อใจนั้นออกไป

คำแนะนำ AI เพียงหนึ่งคำสามารถขยายออกไปเป็นซอฟต์แวร์อาร์ติแฟ็กต์หลายร้อยชิ้นที่กลายเป็นส่วนหนึ่งของแอปพลิเคชัน โอเพ่นซอร์สทำงานในลักษณะนี้มาโดยตลอด สิ่งที่เปลี่ยนแปลงคือใครที่ตัดสินใจเชื่อใจก่อน Historically นักพัฒนาคัดเลือกและเลือกส่วนประกอบที่พวกเขาเชื่อใจ มากขึ้น AI ระบบแนะนำครั้งแรก ในขณะที่นักพัฒนายืนยันผลลัพธ์หลังจากนั้น

มันฟังดูเหมือนการเปลี่ยนแปลงเล็กๆ น้อยๆ แต่มันเปลี่ยนแปลงวิธีที่องค์กรควรคิดเกี่ยวกับความปลอดภัยของซอฟต์แวร์ในช่องทางอุปทานโดยพื้นฐาน

AI ปรับให้เหมาะสมกับการทำงานซอฟต์แวร์ ไม่ใช่ความเชื่อใจขององค์กร

ไม่มีอะไรบ่งชี้ว่า AI กำลังแนะนำที่ไม่ดี สิ่งที่ตรงกันข้าม

ผู้ช่วยการเขียนโค้ด AI มีความสามารถในการแนะนำซอฟต์แวร์เพราะพวกมันได้เรียนรู้จากตัวอย่างหลายล้านตัวอย่างของวิธีการแก้ปัญหาที่คล้ายกันของนักพัฒนา ดังนั้น เฟรมเวิร์กที่ได้รับความนิยม ไลบรารีที่ได้รับการสนับสนุนดี และรูปแบบการนำไปใช้ที่คุ้นเคยจึงปรากฏในคำแนะนำของพวกมัน และนั่นคือสิ่งที่ทำให้เครื่องมือเหล่านี้มีคุณค่า

แต่วัตถุประสงค์ในการปรับให้เหมาะสมเหล่านั้นแตกต่างจากคำถามที่ทีมความปลอดภัยขององค์กรมีความจำเป็น AI ไม่ได้ประเมินว่าแพ็คเกจสอดคล้องกับนโยบายซอฟต์แวร์ขององค์กรหรือไม่ อิมเมจคอนเทนเนอร์ถูกสร้างขึ้นจากแหล่งที่มาหรือไม่ ประวัติการใช้งานซอฟต์แวร์ถูกยืนยันหรือไม่ หรือความพึ่งพามาจากแหล่งซอฟต์แวร์ที่ได้รับการอนุมัติหรือไม่

การทำงาน ความนิยม และความน่าจะเป็นเป็นสัญญาณที่มีประโยชน์สำหรับการสร้างโค้ด แต่ไม่ควรใช้เป็นตัวแทนในการยืนยัน

ทำไมเราจึงต้องรวมเข้าด้านซ้าย

มานานแล้ว ความปลอดภัยของซอฟต์แวร์ในช่องทางอุปทานมุ่งเน้นไปที่การระบุความเสี่ยงหลังจากที่ซอฟต์แวร์เข้าสู่กระบวนการการพัฒนา ตัวสแกนความเสี่ยง การวิเคราะห์องค์ประกอบซอฟต์แวร์ และ SBOM ได้ปรับปรุงความสามารถในการมองเห็นซอฟต์แวร์ที่แอปพลิเคชันประกอบด้วยอย่างมาก

เครื่องมือเหล่านั้นยังคงจำเป็น แต่พวกมันจัดการกับส่วนอื่นของปัญหา

AI ย้ายการคัดเลือกซอฟต์แวร์ไปสู่จุดเริ่มต้นของวงจรชีวิตการพัฒนาซอฟต์แวร์ ดังนั้นเมื่อการควบคุมด้านความปลอดภัยแบบดั้งเดิมเริ่มวิเคราะห์ โครงการที่สร้างขึ้นอาจอ้างอิงความพึ่งพาหลายสิบรายการแล้ว ซึ่งต้องได้รับการประเมิน การแก้ไข หรือการแทนที่ องค์กรยังคงทำปฏิกิริยาต่อการเลือกซอฟต์แวร์ที่เข้าสู่กระบวนการทำงานพัฒนาแล้ว

นี่คือเหตุผลที่ฉันเชื่อว่าองค์กรต่างๆ ต้องรวมเข้าด้านซ้าย

แนวคิดเบื้องหลังการรวมเข้าด้านซ้ายคือเรื่องง่ายๆ คือความเชื่อใจควรตั้งขึ้นก่อนที่ซอฟต์แวร์จะกลายเป็นส่วนหนึ่งของแอปพลิเคชัน ไม่ใช่หลังจากนั้น เมื่อ AI กลายเป็นผู้เข้าร่วมที่กระตือรือร้นในการพัฒนาซอฟต์แวร์ หลักการนั้นจะสำคัญมากขึ้น การกำกับดูแลจะต้องย้ายไปยังจุดที่ซอฟต์แวร์ถูกเลือก ไม่ใช่จุดที่จะถูกสแกนในที่สุด

องค์กรต่างๆ ต้องกำหนดแหล่งซอฟต์แวร์ที่เชื่อถือได้ ตั้งค่าซอฟต์แวร์อาร์ติแฟ็กต์ที่ AI ได้รับอนุญาตให้แนะนำ และตรวจสอบอาร์ติแฟ็กต์เหล่านั้นก่อนที่จะกลายเป็นส่วนหนึ่งของกระบวนการทำงานพัฒนา วัตถุประสงค์คือเพื่อให้แน่ใจว่า AI เร่งการจัดส่งซอฟต์แวร์ภายในรางที่สะท้อนมาตรฐานความปลอดภัย การปฏิบัติตามกฎระเบียบ และวิศวกรรมขององค์กร

การกำกับดูแลการเลือกซอฟต์แวร์ในยุค AI

องค์กรต่างๆ ได้กำหนดไว้แล้วว่าซอฟต์แวร์สามารถทำงานได้ที่ไหน วิธีการจัดวาง และใครที่ได้รับอนุญาตให้เผยแพร่ มากขึ้น องค์กรเหล่านั้นจะกำหนดว่าซอฟต์แวร์ AI ได้รับอนุญาตให้แนะนำอะไร

นี่คือจุดที่ท่าทางซอฟต์แวร์ในช่องทางอุปทานมีความสำคัญมากขึ้น องค์กรต่างๆ ต้องการความมั่นใจไม่เพียงแต่ในซอฟต์แวร์ที่พวกเขาสร้างขึ้น แต่ยังในซอฟต์แวร์ที่ AI แนะนำในนามของพวกเขา ความมั่นใจนั้นมาจากการยืนยัน แหล่งซอฟต์แวร์ที่เชื่อถือได้ และการกำกับดูแลที่เริ่มต้นก่อนที่ซอฟต์แวร์จะเข้าสู่กระบวนการทำงานพัฒนา

AI จะยังคงเปลี่ยนแปลงการพัฒนาซอฟต์แวร์ และมันควรจะเป็นเช่นนั้น ผลผลิตที่ได้รับไม่ควรเพิกเฉย แต่เมื่อองค์กรต่างๆ ยอมรับการพัฒนาที่มี AI เป็นเจ้าของ พวกเขาจะต้องตระหนักว่าการเลือกซอฟต์แวร์กำลังจะกลายเป็นอัตโนมัติมากขึ้น

องค์กรที่ประสบความสำเร็จจะเป็นองค์กรที่กำหนดแหล่งซอฟต์แวร์ที่เชื่อถือได้ ตรวจสอบซอฟต์แวร์อาร์ติแฟ็กต์ที่ AI แนะนำ และรวมการกำกับดูแลเข้ากับการเลือกซอฟต์แวร์ตั้งแต่เริ่มต้น

AI กำลังเปลี่ยนแปลงวิธีการเขียนซอฟต์แวร์ แต่ขณะนี้ AI กำลังเปลี่ยนแปลงวิธีการเลือกซอฟต์แวร์ เนื่องจากในยุค AI ซอฟต์แวร์ที่คุณเชื่อถือจะขึ้นอยู่กับซอฟต์แวร์ที่ AI ของคุณเลือกก่อน