Tại Sao Mã Code Tự Động Được Tạo Ra Bởi Trí Tuệ Nhân Tạo Làm Hỏng Mô Hình Quản Lý Khả Năng Tiếp Cận Của Bạn

Trình tạo mã code trí tuệ nhân tạo đã làm được điều mà nhiều năm các công cụ DevOps không thể làm được: họ đã làm cho việc xuất bản tính năng trong vài ngày trở nên khả thi, điều mà trước đây phải mất vài tuần. Vấn đề là tốc độ này cũng áp dụng cho các điểm yếu.

Trong nhiều năm làm việc trong lĩnh vực an ninh mạng, tôi đã chứng kiến các tổ chức lặp đi lặp lại cùng một mẫu phản ứng: phát hiện ra một điểm yếu, cố gắng hiểu phạm vi của nó, tranh cãi về ai là người sở hữu việc sửa chữa và cuối cùng là khắc phục nó sau vài tuần hoặc vài tháng. Trí tuệ nhân tạo không thay đổi mẫu này. Nó đã tăng tốc mẫu này lên một tốc độ mà mô hình cũ không thể theo kịp. Thời gian trung bình để khắc phục các lỗ hổng nghiêm trọng là hơn 60 ngày. Phát triển hỗ trợ trí tuệ nhân tạo không cho bạn 60 ngày. Nó cho bạn một cơ sở mã mới mỗi sprint.

Vấn Đề Phụ Thuộc Hiện Nay Là Vấn Đề Của Trí Tuệ Nhân Tạo

96% ứng dụng doanh nghiệp bao gồm các thành phần mã nguồn mở. Hầu hết chúng không được kiểm tra kỹ lưỡng, chỉ được kéo từ các kho đăng ký công khai vì chúng hoạt động và ai đó cần chúng vào buổi chiều đó. Các đội an ninh đã mất đất trong nhiều năm và các trợ lý mã hóa trí tuệ nhân tạo đã biến một tình trạng mất máu chậm thành một điều gì đó khó kiểm soát hơn.

Khi một nhà phát triển viết mã thủ công, họ đưa ra các quyết định có chủ đích về các phụ thuộc. Khi một mô hình trí tuệ nhân tạo tạo mã, nó kéo từ bất cứ thứ gì nó được đào tạo. Điều đó thường có nghĩa là các gói ảo, các phiên bản lỗi thời hoặc các thành phần có lỗ hổng đã biết mà mô hình không có lý do gì để tránh. Mã đến nhìn sạch sẽ. Rủi ro được nhúng trong cây phụ thuộc, vài lớp xuống, vô hình với bất kỳ ai không tìm kiếm cụ thể nó.

Tôi đã ngồi trong các cuộc xem xét an ninh nơi các đội bị sốc khi tìm thấy một lỗ hổng nghiêm trọng trong một phụ thuộc gián tiếp của một gói họ đã phê duyệt vài tháng trước. Gói đó ổn. Điều nó kéo vào không ổn. Động lực đó hiện đang xảy ra ở quy mô máy, trên hàng trăm nhà phát triển sử dụng công cụ trí tuệ nhân tạo không có khái niệm về tư thế an ninh của tổ chức bạn.

Quét Sau Khi Sự Kiện Không Phải Là Một Chiến Lược

Mô hình phổ biến cho an ninh phần mềm mã nguồn mở là quét và vá: chạy một máy quét, phân loại các phát hiện, phân配 vé và chờ. Mô hình này luôn phản ứng, và trong một môi trường phát triển tăng tốc bởi trí tuệ nhân tạo, nó hoàn toàn bị tụt lại phía sau.

Các máy quét tìm thấy vấn đề sau khi chúng đã ở trong mã của bạn. Cửa sổ giữa việc giới thiệu và phát hiện là nơi sự phơi bày của bạn tồn tại. Khi trí tuệ nhân tạo tạo mã ở quy mô lớn, cửa sổ đó trở nên rộng hơn và khối lượng phát hiện tăng nhanh hơn bất kỳ đội nào có thể khắc phục thủ công. Kết quả là một danh sách chờ đợi lỗ hổng mà không ngừng tăng, việc ưu tiên trở nên khó khăn và các nhà phát triển dành 4 đến 8 giờ cho mỗi lỗ hổng để làm việc không tạo ra giá trị kinh doanh.

Thêm các sự cố quản trị mà theo sau và bức tranh trở nên tồi tệ hơn. Sở hữu việc khắc phục thường không rõ ràng. An ninh đánh dấu một lỗ hổng, kỹ thuật gọi nó là một câu hỏi về cấu hình và hoạt động gọi nó là một vấn đề mã. Tôi đã thấy mẫu này 20 năm trước và nó không biến mất. Trí tuệ nhân tạo làm cho hậu quả của sự mơ hồ đó trở nên khó chấp nhận hơn.

Sự Thay Đổi Thực Sự Hiệu Quả: Kiểm Soát Những Gì Đi Vào

Các tổ chức đang vượt lên trên điều này đã停止 cố gắng quét mã của họ để an toàn và bắt đầu kiểm soát những gì các nhà phát triển và công cụ trí tuệ nhân tạo của họ có thể tiêu thụ ngay từ đầu. Cơ chế là một danh mục các thành phần mã nguồn mở được kiểm soát, xây dựng từ nguồn, được giám sát liên tục và được cung cấp như một kho đăng ký nội bộ riêng tư thay thế việc kéo trực tiếp từ các hệ sinh thái công khai như PyPI, npm hoặc Maven.

Cách tiếp cận này chuyển an ninh sang trái trong ý nghĩa字面. Các lỗ hổng được chặn tại điểm tiêu thụ, trước khi chúng vào đường ống xây dựng. Các nhà phát triển sử dụng cùng một công cụ họ đã sử dụng. Các trợ lý mã hóa trí tuệ nhân tạo giải quyết các phụ thuộc từ cùng một nguồn được quản lý. Đội an ninh thiết lập chính sách một lần và chính sách đó áp dụng mọi nơi, bao gồm cả mã mà một mô hình tạo ra vào 2 giờ sáng mà không có bất kỳ ai xem xét nó.

Những Gì Nó Trông Như Trong Thực Tiễn

Đối với các lãnh đạo an ninh đang làm việc thông qua điều này, một số điều quan trọng hơn bất cứ điều gì khác:

1. Xác định tập hợp thành phần được phê duyệt của bạn trước khi bạn mở rộng việc áp dụng trí tuệ nhân tạo. Nếu các công cụ mã hóa trí tuệ nhân tạo của bạn giải quyết các phụ thuộc từ các kho đăng ký công khai, quá trình phê duyệt của bạn chỉ tồn tại trên giấy. Thiết lập một kho đăng ký nội bộ được quản lý, định tuyến mọi thứ thông qua nó và yêu cầu các thành phần được xây dựng từ nguồn với nguồn gốc xác minh.
2. Xử lý việc khắc phục như một quá trình được quản lý, không phải một hàng đợi vé. Các tổ chức đang vượt lên trên nợ lỗ hổng không di chuyển nhanh hơn trên việc khắc phục thủ công. Họ đã loại bỏ việc khắc phục thủ công khỏi phương trình. Khi một bản vá được phê duyệt bởi cộng đồng có sẵn, nó được xây dựng lại vào danh mục tự động. Các nhà phát triển nhận được bản cập nhật lần tiếp theo họ kéo. Không ai phân配 vé. Không ai chờ 60 ngày.
3. Đánh dấu chuỗi công cụ trí tuệ nhân tạo của bạn với các nghĩa vụ tuân thủ của bạn trước khi bạn bị buộc phải làm như vậy. Tôi đã xem các đội xây dựng trên công cụ trí tuệ nhân tạo trong vài tháng, chỉ để gặp phải một bức tường khi một khách hàng yêu cầu sự phù hợp với FedRAMP hoặc bằng chứng SOC 2. Danh mục được kiểm soát của bạn cũng là hồ sơ kiểm toán tuân thủ của bạn. Các bản ghi SBOM và nguồn gốc nên được gửi kèm với mỗi thành phần, không phải được lắp ráp lại một cách hồi hộp dưới áp lực thời hạn.
4. Gán sở hữu rõ ràng tại lớp quản trị, không phải tại lớp vé. Các đội di chuyển nhanh nhất trên việc khắc phục không phải là những đội có nhiều nhà phát triển nhất. Họ là những đội nơi đội an ninh sở hữu chính sách, đội nền tảng sở hữu giao hàng và không đội nào chờ đợi đội khác hành động.

An Ninh Cho Phép Thay Vì Chặn

Có một niềm tin dai dẳng rằng an ninh và tốc độ phát triển là mâu thuẫn cơ bản. Tôi chưa bao giờ tìm thấy điều đó là đúng khi an ninh được thiết kế vào quá trình thay vì được gắn vào nó. Các nhà phát triển làm việc từ một tập hợp thành phần được kiểm soát thực sự di chuyển nhanh hơn, vì họ không phải nghi ngờ về việc phê duyệt, chờ đợi các đánh giá an ninh hoặc làm sạch các lỗ hổng mà có thể đã được chặn ở phía上游.

Các tổ chức sẽ điều hướng phát triển tăng tốc bởi trí tuệ nhân tạo mà không tích lũy nợ an ninh không bền vững không phải là những tổ chức chạy nhiều máy quét nhất. Họ là những tổ chức đã đưa ra một quyết định có chủ đích để quản lý những gì đi vào chuỗi cung ứng phần mềm của họ trước khi nó trở thành một vấn đề phản ứng sự cố. Quyết định đó thuộc về lãnh đạo. Các công cụ để thực hiện nó tồn tại ngày hôm nay.