Neden AI Tarafından Oluşturulan Kod Güvenlik Açığı Yönetim Modelinizi Bozuyor

AI kod oluşturucuları yıllarca süren DevOps araçlarının başaramadığını başardılar: artık haftalar alan özellikler günlerde teslim edilebiliyor. Sorun, hızın güvenlik açıklarına da eşit olarak uygulanmasıdır.

Siber güvenlikteki yıllarımda, organizasyonların aynı tepkisel modele göre döndüğünü izledim: bir güvenlik açığı keşfeder, kapsamını anlamak için çabalarken, kimin bu açığı düzeltmesi gerektiğini tartışır ve haftalar veya aylar sonra düzeltirler. AI bu modeli değiştirmedi, sadece hızlandırdı. Şimdi eski model bu hıza yetişemez. Kritik CVE’lerin ortalama MTTR’ı 60 günden fazladır. AI destekli geliştirme size 60 gün vermez, her sprintta yeni bir kod tabanı verir.

Bağımlılık Sorunu Şimdi Bir AI Sorunudur

Kurumsal uygulamaların %96’sı açık kaynaklı bileşenler içerir. Çoğu, sadece çalıştıkları için ve biri o öğleden sonra bunlara ihtiyaç duyduğu için kamu kayıtlarından alınmıştır. Güvenlik ekipleri yıllarca bu konuda geriye gitmiştir ve AI kod asistanları bu yavaş kanamayı kontrol edilemez bir şeye dönüştürmüştür.

Bir geliştirici kodu elle yazdığında, bağımlılıklar hakkında bilinçli seçimler yapar. Bir AI modeli kodu oluşturduğunda, eğitim aldığı her şeye başvurur. Bu genellikle hayal edilen paketler, eski sürümler veya bilinen CVE’leri olan bileşenleri anlamına gelir ve model bunları tránhma konusunda hiçbir sebep görmemiştir. Kod temiz görünür. Risk, bağımlılık ağacında, birkaç katman aşağıda, sadece bunu arayanlar için görünmez.

Güvenlik incelemelerinde, ekiplerin daha önce onayladıkları bir paketin transitif bağımlılığında kritik bir CVE bulduklarına şaşırdıklarını gördüm. Paket iyiydi, ancak çektiği şey değildi. Bu dinamik şimdi yüzlerce geliştiricinin, organizasyonun güvenlik duruşunu kavramayan AI araçlarını kullandığı makine ölçeğinde gerçekleşiyor.

Sonradan Tarama Bir Strateji Değildir

Açık kaynaklı yazılım güvenliği için geçerli model tara-ve-düzeltme modelidir: bir tarayıcı çalıştırın, bulguları triaj edin, biletleri atayın ve bekleyin. Bu model her zaman tepkiseldir ve AI hızlandırmalı geliştirme ortamında tamamen geride kalır.

Taranıcılar kodu zaten içinde bulunduktan sonra sorunları bulur. Güvenlik açığının tanımlanması ile keşfedilmesi arasındaki pencere, maruz kalma yaşadığınız yerdir. AI kodu büyük ölçekte oluşturduğunda, bu pencere genişler ve bulguların hacmi, herhangi bir ekibin manuel olarak düzeltmesinden daha hızlı büyür. Sonuç, sürekli genişleyen bir CVE geri bildirimi, önceliklendirme ve geliştiricilerin iş üretmeyen çalışmalarda 4 ila 8 saat harcamalarıdır.

Yönetişim bozulmaları eklenince tablo daha da kötüleşir. Düzeltme sorumluluğu genellikle belirsizdir. Güvenlik bir CVE’yi işaretler, mühendislik bunu bir yapılandırma sorusu olarak adlandırır ve operasyonlar bunu bir kod sorunu olarak adlandırır. 20 yıl önce bu modeli gördüm ve değişmedi. AI, bu belirsizliğin sonuçlarını önemli ölçüde daha zor hale getirir.

Gerçekten Çalışan Kayma: Girenleri Kontrol Edin

Bu sorunların önüne geçen organizasyonlar, güvenlik için taramaya çalışmaktan vazgeçtiler ve geliştiricilerin ve AI araçlarının tüketebileceği şeyleri ilk etapta kontrol etmeye başladılar. Mekanizma, kaynaklardan sürekli izlenen, politikalarla yönetilen ve kamu ekosistemlerinin yerine özel bir iç kayıt olarak kullanılan açık kaynaklı bileşenlerin küratörlü bir kataloğudur.

Bu yaklaşım, güvenlik soluna en literal anlamda kayma yapar. Güvenlik açıkları, geliştirme pipeline’ına girmeden önce tüketim noktasında engellenir. Geliştiriciler her zaman kullandıkları araçları kullanırlar. AI kod asistanları aynı yönetilen kaynaktan bağımlılıkları çözer. Güvenlik ekibi politikayı bir kez tanımlar ve bu politika, 2 sabahında hiçbir insan tarafından gözden geçirilmeyen, bir model tarafından oluşturulan kodu da içeren her yerde uygulanır.

Pratikte Nasıl Görünür

Bu konuyu çalışan güvenlik liderleri için birkaç şey önemlidir:

1. AI benimsemesini ölçeklendirmeden önce onaylı bileşen kümenizi tanımlayın. AI kod araçlarınız kamu kayıtlarından bağımlılıkları çözüyorsa, onay süreciniz sadece kağıt üzerinde vardır. Yönetilen bir iç kayıt oluşturun, her şeyi bu kayıt üzerinden yönlendirin ve bileşenlerin kaynaklardan inşa edildiğini ve doğrulanabilir bir kökeni olduğunu gerektirin.
2. Düzeltmeyi yönetilen bir süreç olarak, bir bilet kuyruğu olarak değil ele alın. CVE borcundan kaçınan organizasyonlar, manuel düzeltme konusunda daha hızlı hareket etmiyorlar. Manuel düzeltme işlemini denklemden çıkarmışlardır. Topluluk tarafından onaylanmış bir yama mevcut olduğunda, otomatik olarak kataloga yeniden inşa edilir. Geliştiriciler, bir sonraki çekme işleminde güncellenmiş sürümü alırlar. Hiç kimse bir bilet atamaz. Hiç kimse 60 gün beklemeye gerek duymaz.
3. AI araç zincirinizi, zorlanmadan önce uyumluluk yükümlülüklerinize eşleyin. AI araçlarını aylarca kullandıktan sonra bir müşterinin FedRAMP uyumluluğu veya SOC 2 kanıtları istediğinde takıldığını gördüm. Küratörlü kataloğu aynı zamanda uyumluluk denetimi izinizin bir parçasıdır. SBOM’ler ve köken kayıtları her bileşenle birlikte gelmelidir, değil de son dakika baskısı altında geri dönük olarak oluşturulmamalıdır.
4. Yönetişim katmanında, bilet katmanında değil açık bir sorumluluk atayın. Düzeltme konusunda en hızlı hareket eden ekipler, en çok geliştiriciye sahip olanlar değildir. Güvenlik ekibinin politikaya, platform ekibinin teslimata sahip olduğu ve birinin diğerini beklemeksizin hareket ettiği ekiplerdir.

Güvenlik Engelleme Yerine Etkinleştirir

Güvenlik ve geliştirme hızı arasında temel bir çatışma olduğu inancı vardır. Güvenlik süreci yerine üzerine monte edildiğinde bunu asla böyle görmedim. Küratörlü bir bileşen kümesinden çalışan geliştiriciler aslında daha hızlı hareket ederler, çünkü onayları sorgulamıyorlar, güvenlik incelemelerini beklemiyorlar veya yukarı akışta engellenmiş olabilecek güvenlik açıklarını temizlemiyorlar.

AI destekli geliştirmeyi, sürdürülemez güvenlik borcu biriktirmeden yönetecek organizasyonlar, en çok tarayıcıları çalıştıranlar değildir. Bunlar, yazılımları teslim etmeden önce yazılımlarına giren şeyleri yönetmeye karar veren liderlerdir. Bu kararı vermek liderlere aittir. Bunu gerçekleştirecek araçlar bugün mevcuttur.