Ronen Slavin, CTO và Đồng sáng lập, Cycode – Loạt phỏng vấn

Ronen Slavin, CTO và Đồng sáng lập, Cycode, là một doanh nhân连 tiếp và cựu sĩ quan của Đơn vị 8200 thuộc Lực lượng Phòng vệ Israel. Trước khi ra mắt Cycode vào năm 2019, anh đã đồng sáng lập FileLock, được Reason Security mua lại vào năm 2018, và từng là Trưởng nhóm Nghiên cứu tại Reason Cybersecurity. Với chuyên môn sâu về phát hiện malware, nghiên cứu lỗ hổng và khai thác, Slavin đã xây dựng sự nghiệp tại giao điểm của nghiên cứu bảo mật tiên tiến và đổi mới sản phẩm.

Cycode là một nền tảng bảo mật ứng dụng bản địa AI, kết hợp các đội bảo mật và phát triển với ngữ cảnh hành động từ mã đến thời gian chạy. Bằng cách hội tụ AST, ASPM và bảo mật chuỗi cung ứng phần mềm, nó bảo mật cả mã được tạo bởi AI và con người. Được hỗ trợ bởi Risk Intelligence Graph (RIG) độc quyền, máy quét và tích hợp, Cycode cung cấp phát hiện rủi ro tức thời, Phân tích Tác động Thay đổi (CIA) và bản vá được điều khiển bởi AI – đóng các khoảng trống về khả năng hiển thị, tăng tốc độ khắc phục và giảm chi phí từ ngày đầu tiên.

Điều gì đã thúc đẩy bạn bắt đầu Cycode, và vấn đề bảo mật phần mềm chính nào bạn nhằm giải quyết từ đầu?

Ý tưởng về Cycode xuất phát từ một điều chúng tôi đã quan sát nhiều lần; mã nguồn bị đánh cắp hoặc vô tình rò rỉ vào tay sai. Sau khi dành nhiều năm trong lĩnh vực an ninh mạng và không gian an ninh tấn công, và dẫn đầu bảo vệ điểm cuối tại Reason, chúng tôi đã nhận ra tầm quan trọng của mã nguồn – không chỉ là các dòng mã, mà còn là một trong những tài sản quý giá nhất của công ty. Đó không phải là nhận được sự bảo mật mà nó xứng đáng.

Đó là sự nhận thức đột ngột đó đã truyền cảm hứng cho tôi bắt đầu Cycode. Từ đầu, nhiệm vụ của chúng tôi đã rõ ràng: bảo vệ mã nguồn tại mọi giai đoạn, từ khi nó được viết đến khi nó được vận chuyển, tất cả mà không cản trở động lực và đà của các nhà phát triển. Chúng tôi đã đặt ra để đảm bảo rằng bảo mật và kỹ thuật có thể làm việc cùng nhau, với bảo mật được tích hợp một cách liền mạch vào quy trình làm việc hàng ngày, thay vì trở thành một chướng ngại vật.

Điều quan trọng nhất là cung cấp cho các đội khả năng hiển thị, trách nhiệm và hợp tác mà họ cần. Các nhà phát triển không nên phải hy sinh năng suất của họ cho bảo mật, và các đội bảo mật không nên phải hoạt động mà không có ngữ cảnh hoặc kiểm soát. Cycode được tạo ra để làm cho cả hai đều có thể.

Làm thế nào kinh nghiệm trước đây của bạn với tư cách là một doanh nhân an ninh mạng và dịch vụ của bạn trong đơn vị tình báo tinh anh của Israel, Đơn vị 8200, đã định hình cách tiếp cận kỹ thuật của bạn tại Cycode?

Thời gian của tôi trong hệ sinh thái an ninh mạng của Israel, đặc biệt là trong các môi trường kỹ thuật tinh anh, đã灌输 một tư duy chính xác, thích nghi và tò mò không ngừng. Cho dù tôi ở Đơn vị 8200 hay trong những ngày đầu khởi nghiệp, tôi đã học cách suy nghĩ như cả một kẻ tấn công và một người phòng thủ. Quan điểm kép đó đã trở thành nền tảng cho cách chúng tôi xây dựng Cycode.

Là một doanh nhân an ninh mạng, tôi đã chứng kiến trực tiếp cách cảnh quan bảo mật đã trở nên phân mảnh và phản ứng. Các công cụ bảo mật thường được gắn thêm sau khi sự việc đã xảy ra, khiến các nhà phát triển phải điều hướng một mê cung cảnh báo mà không có ngữ cảnh. Đó là điều chúng tôi đã đặt ra để thay đổi.

Tại Cycode, chúng tôi đã áp dụng một cách tiếp cận cấp hệ thống, coi mã nguồn là một tài sản quan trọng và xây dựng bảo mật vào chu kỳ phát triển phần mềm từ đầu. Nền tảng của tôi đã dạy tôi rằng bảo mật phải chủ động, có ngữ cảnh và thân thiện với nhà phát triển. Đó là lý do tại sao chúng tôi tập trung rất nhiều vào tự động hóa, khả năng hiển thị và bắc cầu giữa bảo mật và phát triển phần mềm. Nó không chỉ là về việc tìm ra các lỗ hổng, mà còn là về việc sửa chữa những gì quan trọng, nhanh chóng.

Cycode kết hợp nhiều lớp bảo vệ, bao gồm AST (Kiểm tra Bảo mật Ứng dụng) và ASPM (Quản lý Tư thế Bảo mật Ứng dụng). Đối với những người không quen thuộc, bạn có thể giải thích cách các yếu tố này hoạt động cùng nhau – và điều gì làm cho cách tiếp cận của Cycode trở nên độc đáo?

Tất nhiên. Tại Cycode, việc bảo mật phần mềm hiện đại đòi hỏi hơn là chỉ quét mã; nó đòi hỏi một sự hiểu biết toàn diện về cách mã được xây dựng, triển khai và duy trì. Bây giờ, với tư cách là một nền tảng bảo mật ứng dụng bản địa AI, cách tiếp cận của chúng tôi là một yếu tố phân biệt do sự hội tụ của Kiểm tra Bảo mật Ứng dụng (AST), Quản lý Tư thế Bảo mật Ứng dụng (ASPM) và Bảo mật Chuỗi Cung ứng Phần mềm (SSCS).

Các công cụ AST, chẳng hạn như SAST, DAST và SCA, có hiệu quả trong việc xác định các lỗ hổng trong mã, phụ thuộc và cơ sở hạ tầng. Nhưng chúng thường hoạt động trong các silo, tạo ra các cảnh báo mà không có ngữ cảnh. Đó là nơi ASPM xuất hiện. ASPM kết nối các điểm trên toàn bộ chu kỳ phát triển phần mềm. Nó cung cấp khả năng hiển thị vào tư thế bảo mật ứng dụng với ưu tiên rủi ro và khắc phục có thể thực hiện, SSCS sandwich nền tảng để bảo mật các đường ống CI/CD.

Điều làm cho Cycode trở nên độc đáo là cách chúng tôi thống nhất các lớp này và thiết lập một tiêu chuẩn doanh nghiệp mới. Ngày nay, trong kỷ nguyên AI, bảo mật sẽ cần trở nên thông minh hơn. Chúng tôi đã xây dựng trên nền tảng của mình với AST, ASPM và SSCS với các tác nhân AI để giúp ưu tiên và sửa chữa những gì quan trọng nhanh hơn, đóng khoảng trống bảo mật mà tôi đã đề cập trước đó.

Cycode tích hợp với các đường ống DevOps hiện đại như GitHub, GitLab hoặc Azure DevOps như thế nào để phát hiện rủi ro sớm hơn trong chu kỳ phát triển?

Cycode được xây dựng với DevOps hiện đại trong tâm trí. Chúng tôi tích hợp trực tiếp vào các nền tảng như GitHub, GitLab và Azure DevOps để nhúng bảo mật vào mọi giai đoạn của chu kỳ phát triển phần mềm, mà không làm chậm các đội lại.

Nền tảng của chúng tôi kết nối với kiểm soát nguồn và hệ thống CI/CD để liên tục theo dõi mã, cấu hình và quy trình làm việc. Chúng tôi quét và yêu cầu kéo trong thời gian thực, vì vậy các nhà phát triển nhận được phản hồi ngay lập tức về các lỗ hổng trước khi mã được hợp nhất. Chúng tôi cũng phân tích lịch sử cam kết và siêu dữ liệu để gán vấn đề cho đúng chủ sở hữu, giảm ma sát và tăng tốc độ khắc phục.

Trong cách tiếp cận của chúng tôi, chúng tôi không chỉ hiển thị cảnh báo; chúng tôi cung cấp ngữ cảnh đầy đủ. Điều này bao gồm nguồn gốc của vấn đề, tác động tiềm năng và các bước để giải quyết nó. Và vì chúng tôi tích hợp với các công cụ như JIRA, chúng tôi có thể tự động tạo và theo dõi vé, giữ cho bảo mật và kỹ thuật đồng bộ.

Mục tiêu cuối cùng của chúng tôi là chuyển bảo mật sang trái trong một cách kiểm soát, thân thiện với nhà phát triển, vì vậy rủi ro được xác định sớm, giải quyết nhanh chóng và không trở thành chướng ngại vật sau này trong đường ống.

Bạn có thể hướng dẫn chúng tôi qua cách Risk Intelligence Graph của Cycode giúp các đội kết nối các mối đe dọa trên mã, container, cơ sở hạ tầng và thời gian chạy?

Vâng, đó là một tính năng chúng tôi tự hào cung cấp. Risk Intelligence Graph, những gì chúng tôi gọi là RIG, là động cơ đằng sau khả năng của Cycode trong việc tương quan và ngữ cảnh hóa dữ liệu bảo mật trên toàn bộ chuỗi cung ứng phần mềm.

Hãy nghĩ về RIG như một bản đồ động kết nối mọi thứ từ mã nguồn và phụ thuộc mã nguồn mở đến đường ống CI/CD, đăng ký artifact và môi trường thời gian chạy. Nó không chỉ thu thập dữ liệu – nó hiểu mối quan hệ. Vì vậy, khi một lỗ hổng được tìm thấy trong một container, RIG có thể theo dõi nó trở lại dòng mã chính xác, nhà phát triển đã cam kết nó, đường ống đã xây dựng nó và cơ sở hạ tầng nó đang chạy trên đó.

Khả năng hiển thị này là rất quan trọng. Nó cho phép các đội bảo mật ưu tiên rủi ro dựa trên tác động thực tế của chúng, chứ không chỉ là điểm số nghiêm trọng. Với AI được xây dựng bên trong, nó cung cấp cho các nhà phát triển thông tin chi tiết và ngữ cảnh đầy đủ, cho phép họ sửa chữa vấn đề nhanh hơn và tự tin hơn.

Điều quan trọng cần lưu ý là RIG không chỉ là một bảng điều khiển; nó là một công cụ ra quyết định. Nó giúp các đội chuyển từ phát hiện sang giải quyết với tốc độ của DevOps, kết nối các điểm trên các hệ thống phân mảnh và hiển thị các rủi ro thực sự quan trọng.

Cycode phát hiện và quản lý rủi ro liên quan đến mã được tạo bởi AI và tích hợp với dịch vụ như OpenAI hoặc Hugging Face như thế nào?

Mã được tạo bởi AI giới thiệu một lớp phức tạp và rủi ro mới, đặc biệt là khi nó xuất phát từ các dịch vụ bên ngoài như OpenAI hoặc Hugging Face. Tại Cycode, chúng tôi đã xây dựng các khả năng cụ thể để giải quyết cảnh quan mối đe dọa đang phát triển này. Gần đây nhất, Trình đại lý khai thác AI và Máy chủ MCP của chúng tôi để bảo mật các quy trình phát triển và mã hóa AI.

Về nền tảng của chúng tôi, chúng tôi cung cấp một kho tài sản ứng dụng tập trung mà ánh xạ tất cả các thành phần trong một hệ sinh thái phần mềm, bao gồm cả mô hình AI, thư viện AI của bên thứ ba và tích hợp với dịch vụ như OpenAI hoặc Hugging Face. Điều này cung cấp cho các đội khả năng hiển thị hoàn chỉnh về nơi AI đang được sử dụng, ngay cả khi nó được nhúng sâu trong ngăn xếp.

Thứ hai, chúng tôi sử dụng các công cụ phân tích mã độc quyền vượt ra ngoài việc khớp mẫu từ khóa. Các công cụ này có thể phát hiện mẫu mã được tạo bởi AI và xác định các thư viện hoặc khuôn khổ thường liên quan đến học máy, NLP hoặc AI tạo sinh – ngay cả khi chúng không được dán nhãn rõ ràng như vậy.

Chúng tôi cũng liên tục quét các lỗ hổng cụ thể của AI, những thứ như bề mặt tấn công đối thủ, rủi ro ngộ độc dữ liệu và mối đe dọa trích xuất mô hình. Đây là những vector mới nổi mà các công cụ AST truyền thống thường bỏ qua. Chúng tôi ưu tiên các rủi ro này dựa trên mức độ nghiêm trọng và tác động kinh doanh, và chúng tôi cung cấp hướng dẫn khắc phục được điều chỉnh cho ngữ cảnh AI.

Cuối cùng, chúng tôi giúp các tổ chức tuân thủ các quy định như Đạo luật AI của EU bằng cách tự động hóa tài liệu và cung cấp minh bạch về cách AI được sử dụng trên toàn bộ ứng dụng. Điều này bao gồm việc tạo báo cáo về các thành phần AI, mục đích và tác động tiềm năng của chúng, điều này rất quan trọng cho cả quản trị nội bộ và kiểm toán bên ngoài.

Tóm lại, Cycode không chỉ phát hiện rủi ro liên quan đến AI; nó giúp quản lý rủi ro với khả năng hiển thị hoàn chỉnh, trách nhiệm và tuân thủ.

Những thách thức lớn nhất trong việc phát hiện bí mật trên các môi trường SDLC hiện đại là gì, và Cycode đang giải quyết chúng như thế nào?

Phát hiện bí mật là một trong những thách thức quan trọng và bị bỏ qua nhất trong phát triển phần mềm hiện đại. Bí mật, chẳng hạn như khóa API, token và thông tin xác thực, thường được mã hóa cứng vào mã nguồn, đường ống CI/CD và tệp cấu hình. Và với sự gia tăng của các đội phân tán, phụ thuộc mã nguồn mở và chu kỳ phát hành nhanh, những bí mật này có thể dễ dàng bị rò rỉ vào các kho lưu trữ công khai hoặc bị khai thác bởi các kẻ tấn công.

Thách thức là bí mật không còn chỉ trong mã. Chúng ở khắp mọi nơi, trong môi trường xây dựng, đăng ký artifact và thậm chí các công cụ của bên thứ ba. Các công cụ quét truyền thống thường bỏ sót chúng hoặc tạo ra tiếng ồn quá mức, khiến các đội khó thực hiện hành động.

Tại Cycode, chúng tôi áp dụng một cách tiếp cận toàn diện đối với bảo mật. Nền tảng của chúng tôi quét toàn bộ SDLC, từ kho mã đến đường ống CI/CD và môi trường thời gian chạy, để phát hiện bí mật暴 lộ trong thời gian thực. Chúng tôi tương quan các phát hiện với ngữ cảnh, vì vậy các đội biết không chỉ những gì đã được暴露, mà còn nơi, bởi ai và mức độ quan trọng của nó.

Chúng tôi cũng thực thi quyền truy cập tối thiểu và bảo mật cấu hình đường ống để ngăn chặn bí mật bị lạm dụng. Và vì chúng tôi tích hợp với hệ thống theo dõi vấn đề và quy trình làm việc của nhà phát triển, việc khắc phục là nhanh chóng và không có ma sát.

Cuối cùng, phát hiện bí mật không chỉ là về việc tìm thấy sự rò rỉ, mà còn là về việc bảo mật toàn bộ nhà máy phần mềm. Đó là lý do tại sao nền tảng của Cycode được xây dựng để làm điều đó.

Làm thế nào bạn đảm bảo độ chính xác và giảm thiểu các cảnh báo sai khi quét các lỗ hổng hoặc bí mật?

Xử lý các cảnh báo sai có thể rất khó chịu đối với các nhà phát triển. Khi các đội liên tục bị轰炸 bởi các cảnh báo không liên quan, rất dễ bắt đầu bỏ qua chúng, và chính xác khi các mối đe dọa thực sự có thể lọt qua. Thông qua động cơ SAST của chúng tôi, chúng tôi giúp các đội xác định điểm yếu của mã, đạt được độ chính xác và tập trung vào các kết quả dương tính thực sự để tiết kiệm thời gian và tăng tốc độ giao hàng phần mềm.

Trước hết, chúng tôi tập trung vào sự tương quan ngữ cảnh. Thay vì chỉ đánh dấu một vấn đề tiềm năng và chuyển sang, nền tảng của chúng tôi ánh xạ nó đến bức tranh lớn hơn của chuỗi cung ứng phần mềm của một tổ chức. Do đó, nếu một bí mật được phát hiện trong một cam kết, chúng tôi liên kết phát hiện đó với đường ống đã xây dựng nó, môi trường mà nó được triển khai và nhà phát triển đã thêm nó. Ngữ cảnh bổ sung này giúp chúng tôi xác định liệu điều gì đó có thể tạo ra một rủi ro thực sự hay chỉ là vô hại.

Tiếp theo, các thuật toán quét độc quyền của chúng tôi làm được nhiều hơn là chỉ khớp mẫu từ khóa. Các công cụ này phân tích mẫu, entropy và cách chuỗi được sử dụng, cho phép chúng tôi phân biệt giữa các bí mật thực sự và các thực thể tương tự – ngay cả khi chúng không được dán nhãn rõ ràng như vậy.

Chúng tôi cũng tích hợp với hệ thống theo dõi vấn đề và quy trình làm việc của nhà phát triển để giữ mọi thứ kết nối. Khi một lỗ hổng hoặc bí mật được xác nhận và sửa chữa, phản hồi đó giúp chúng tôi làm cho các mô hình của mình thông minh hơn. Bằng cách gán vấn đề dựa trên quyền sở hữu mã, chúng tôi giúp đảm bảo rằng các vấn đề được chỉ đạo đến đúng người mà không cần trùng lặp không cần thiết.

Cuối cùng, mục tiêu của chúng tôi rất đơn giản. Chúng tôi nhằm mục đích làm cho bảo mật trở thành thứ mà các đội có thể dựa vào: ít cảnh báo sai, nhiều kết quả chính xác hơn và giải quyết nhanh hơn. Điều đó cho phép các đội tập trung vào việc giải quyết các vấn đề thực sự quan trọng.

Giá trị của các công cụ bảo mật “đầu tiên cho nhà phát triển” là gì, và làm thế nào Cycode tránh làm gián đoạn quy trình làm việc?

Tại cốt lõi, bảo mật “đầu tiên cho nhà phát triển” là về việc làm cho bảo vệ nhanh chóng, liên quan và chỉ hiển thị khi cần thiết. Đó là cách chúng tôi giữ cho phát triển tiếp tục tiến triển trong khi vẫn duy trì an toàn cho phần mềm.

Nếu các công cụ bảo mật làm chậm các nhà phát triển hoặc cho họ quá nhiều cảnh báo, những công cụ đó có nguy cơ bị bỏ qua. Đó là lý do tại sao Cycode được thiết kế để giúp các nhà phát triển chứ không phải cản trở họ.

Giá trị thực sự đến từ việc đưa bảo mật trực tiếp vào quy trình làm việc hàng ngày của nhà phát triển. Với Cycode, các kiểm tra bảo mật diễn ra ngay lập tức, ngay nơi các nhà phát triển viết và xem xét mã, chẳng hạn như trong IDE hoặc trong quá trình yêu cầu kéo. Điều này có nghĩa là các nhà phát triển nhận được phản hồi ngay khi họ cần, làm cho nó dễ dàng bắt lỗi sớm và xây dựng thói quen mã hóa an toàn mà không cần thêm rắc rối.

Ngữ cảnh cũng là chìa khóa. Thay vì gửi cảnh báo mơ hồ, Cycode cung cấp cho các nhà phát triển chi tiết chính xác: lỗ hổng là gì, nó đến từ đâu, ai chịu trách nhiệm và cách giải quyết nó. Loại thông tin này giúp giảm bớt sự nhầm lẫn và cho phép các đội giải quyết vấn đề một cách hiệu quả hơn.

Bằng cách tích hợp với các công cụ CI/CD phổ biến và hệ thống theo dõi vấn đề như JIRA, Cycode đảm bảo rằng bảo mật trở thành một phần không thể thiếu của quy trình phát triển phần mềm, thay vì là thứ gì đó riêng biệt hoặc không kết nối. Các nhà phát triển có thể tập trung vào công việc của mình, và các đội bảo mật nhận được sự giám sát mà họ cần.

Loại tấn công hoặc lỗ hổng nào bạn dự đoán sẽ tăng lên khi nhiều công ty áp dụng AI trong quy trình phát triển của họ?

Khi AI trở thành một phần không thể thiếu của công việc phát triển hàng ngày, chúng tôi có thể sẽ gặp phải một loạt các lỗ hổng mới. Những điều này sẽ không chỉ là thách thức kỹ thuật – một số sẽ đến từ cách con người và các đội tương tác với những công cụ này.

Một trong những rủi ro đáng kể nhất là các nhà phát triển có thể trở nên quá phụ thuộc vào mã được tạo bởi AI. Mặc dù AI có thể giúp tăng tốc quá trình, nhưng nó không hoàn hảo. Nếu các nhà phát triển giả định rằng mọi gợi ý của AI đều chính xác, họ có thể vô tình giới thiệu các lỗi hoặc vấn đề bảo mật ẩn. Vì các dòng trách nhiệm có thể trở nên模糊 khi mã nguồn gốc từ máy, những vấn đề này có thể lọt qua mà không bị phát hiện.

Cũng có một mối quan ngại ngày càng tăng về các cuộc tấn công chuỗi cung ứng nhắm vào các mô hình AI và API. Ví dụ, nếu các dịch vụ đáng tin cậy như OpenAI hoặc Hugging Face bị xâm phạm, hoặc nếu ai đó bí mật đưa một mô hình độc hại vào một quy trình làm việc, các kẻ tấn công có thể thay đổi đầu ra hoặc đánh cắp thông tin nhạy cảm.

Một mối đe dọa mới nổi khác là ngộ độc dữ liệu. Trong kịch bản này, các kẻ tấn công thực hiện các sửa đổi tinh vi, chiến lược đối với dữ liệu đào tạo có thể ảnh hưởng đến cách mô hình AI hoạt động sau này. Loại tấn công này đặc biệt nguy hiểm trong các lĩnh vực như phát hiện gian lận hoặc kiểm soát truy cập, nơi bảo mật là rất quan trọng.

Tại Cycode, chúng tôi đang phát triển các công cụ giúp các đội xác định rủi ro cụ thể của AI, chẳng hạn như lỗ hổng đối thủ, lạm dụng mô hình và tích hợp không an toàn. Chúng tôi cũng muốn đảm bảo rằng các nhà phát triển vẫn chịu trách nhiệm về mã họ giao, cho dù nó được viết bởi con người hay được tạo tự động.

Nhìn 5 năm tới, bạn thấy vai trò của AI trong việc bảo mật chuỗi cung ứng phần mềm sẽ phát triển như thế nào?

AI đã bắt đầu biến đổi cách chúng ta tiếp cận bảo mật ứng dụng, nhưng ảnh hưởng đầy đủ của nó đối với chuỗi cung ứng phần mềm chỉ mới bắt đầu. Trong 5 năm tới, tôi tin rằng AI sẽ trở thành một phần không thể thiếu của cách chúng ta xác định, ưu tiên và giải quyết rủi ro trên toàn bộ quá trình phát triển.

Trước hết, AI sẽ giúp đưa các đội bảo mật và phát triển lại gần nhau hơn. Hiện tại, thường có căng thẳng, vì các công cụ bảo mật có thể gián đoạn quy trình làm việc hoặc thiếu ngữ cảnh thiết yếu. AI có tiềm năng làm mịn những cạnh đó bằng cách biến các phát hiện bảo mật thành thông tin chi tiết có thể thực hiện, đề xuất các bản vá tự động và thậm chí tạo ra các giải pháp mã hóa an toàn được điều chỉnh cho quy trình làm việc của từng đội.

AI cũng sẽ trở nên ngày càng quan trọng trong việc hiểu những gì đang xảy ra trong thời gian thực. Nó sẽ theo dõi các môi trường xây dựng, container và API, xác định hoạt động bất thường khi nó xảy ra. Việc theo dõi thời gian thực này sẽ rất quan trọng khi các cuộc tấn công chuỗi cung ứng trở nên tinh vi và khó phát hiện hơn bằng cách quét truyền thống alone.

Ngoài ra, AI sẽ giúp các công ty điều hướng mê cung quy định ngày càng tăng. Khi các chính phủ giới thiệu nhiều quy tắc hơn về cách AI nên được sử dụng, các tổ chức sẽ cần các công cụ có thể giải thích lý do đằng sau mỗi quyết định AI, theo dõi nơi các mô hình đến từ và giữ mọi người chịu trách nhiệm. Tôi thấy AI bước vào để tạo tài liệu, ánh xạ phụ thuộc và thực thi chính sách trên các hệ thống phức tạp.

Tuy nhiên, với tất cả những tiến bộ này, sự giám sát của con người sẽ vẫn rất quan trọng. AI không ở đây để thay thế con người, mà để trao quyền cho họ. Các nhà phát triển và các đội bảo mật sẽ luôn phải chịu trách nhiệm, đặc biệt là khi mã được tạo bởi AI có thể giới thiệu rủi ro mới. Đó là một lý do lớn tại sao chúng tôi cam kết xây dựng các công cụ làm cho AI trở nên minh bạch, hiểu biết và chịu trách nhiệm nhất có thể.

Cuối cùng, AI sẽ trở thành sợi dây kết nối làm cho chuỗi cung ứng phần mềm an toàn hơn, nhưng chỉ khi chúng ta sử dụng nó một cách suy nghĩ và giữ cho con người tham gia vào mọi bước.