Asistentët e kodimit me AI nuk janë më një fazë eksperimentale. Në organizatat që i kanë adoptuar, AI është përgjegjëse për rreth gjysëm të kodit të shkruar. Për rrjedhë, pyetja nuk është më nëse zhvilluesit do të përdorin AI, por nëse programet e sigurisë mund të kontrollojnë atë që këto sisteme prodhojnë. Kodi i krijuar nga AI është jashtëzakonisht i mirë në prodhimin e kodit me sintaksë të saktë, me një shifër suksesit prej 99,9%. Përkundrazi, performanca e sigurisë tregon një histori krejt të ndryshme.
Aktualisht, mesatarja e suksesit në fushën e sigurisë është vetëm 56%, që do të thotë se rreth 44% e detyrave të testimit të gjenerimit të kodit prezantojnë një dobësi të njohur. Ndërsa sasia e kodit të krijuar nga AI rritet, ndërkohë që performanca e sigurisë mbetet kryesisht e pandryshuar, organizatat rrezikojnë të futin më shumë kod të vulnerueshme në mjediset e tyre të zhvillimit. Si rezultat, vulnerabilitetet e softuerit janë tani pika kryesore e hyrjes për sulme, duke kapërcyer autentikimin e vjedhur (stolen credentials).
Për të mbyllur këtë gap, është e nevojshme të rishikohet mënyra se si siguria integrohet në zhvillimin e asistuar nga AI. Organizatat duhet të bëjnë sigurinë pjesë të procesit të zhvillimit që nga fillimi, të zgjedhin modele me parasysh rrezikun dhe të verifikojnë kodin në kontekst para se të arrijë prodhimin. Qëllimi nuk është të ngadalësojnë zhvilluesit; është të sigurohen që siguria të mund të operojë me të njëjtën shpejtësi dhe shkallë si softueri që po krijohet.
Modelët e AI mësojnë nga volumet e mëdha të kodit historik dhe publikisht të disponueshëm, duke përfshirë shembuj nga projektet open-source dhe komunitetet e zhvilluesve. Kjo bazë e dhënash përmban implementime të sigurta, por edhe biblioteka të vjetër, validime të dobëta dhe modele të kodimit të papërshtatshme. Ndërsa modelet janë krijuar për të prodhuar kod të dobishëm dhe funksional, pa kontrollet e duhura, ato mund të riprodhojnë këto modele të papërshtatshme në shkallë të gjerë.
Organizatat nuk mund të kontrollojnë çdo burim që përdoret për të stërvitur një model, por ato mund të kontrollojnë cilat modele hyjnë në zhvillim. Modeli më i fortë i testuar arriti një shifër suksesit prej 68% në fushën e sigurisë, ndërkohë që gjashtë nga 11 modelët u grupuan midis 50% dhe 53%. Prandaj, zgjedhja e një modeli nuk është thjesht një vendim për produktivitet, por një konsideratë e rrezikut.
Zgjedhja e një modeli më të fortë mund të zvogëlojë ekspozimin, por nuk e bën outputin të besueshëm sipas parimit. Kodi i krijuar nga AI duhet të testohet gjatë gjithë ciklit të zhvillimit të softuerit duke përdorur aftësi si analiza statike dhe politika të sigurta që zbatohen. Siguria duhet të jetë pjesë e procesit të dorëzimit.
Kodi i krijuar nga AI mund të duket se funksionon ashtu siç është dashur, duke u kompiluar me sukses dhe duke kaluar testet funksionale, ndërkohë që ende përmban vulnerabilitete të sigurisë. Nën presion të afateve, kjo mund të krijojë një besim të gabuar, veçanërisht kur zhvilluesit pranojnë outputin pa kuptuar plotësisht se si ai funksionon brenda aplikacionit më të gjerë.
Diferenca në performancën e sigurisë nëpër llojet e vulnerabiliteteve tregon se pse konteksti ka rëndësi. Ndërsa modelet arritën shifra suksesit prej 83% për injektimet SQL dhe 87% për algoritmat e kriptografisë të papërshtatshme, performanca u ul në 15% për scripting-un ndër-faqe (cross-site scripting) dhe 12% për injektimet në log. Disa dobësira mund të identifikohen përmes një modeli kodimi të njohur, por të tjerat shpesh varen nga rrjedhat e të dhënave, autorizimi, kufijtë e besimit dhe se si pjesët e ndryshme të një aplikacioni ndërvejnë.
Për këtë arsye, verifikimi duhet të ndodhë në workflow dhe në kontekstin e aplikacionit. Analiza native e AI mund të shtojë detektimin kontekstual të rrezikut përkrah analizës statike të krijuar, duke nxjerrë në pah çështje si defektet logjike dhe autentikimi i thyer drejtpërdrejt në kërkesat për bashkim (pull requests). Çelësi është të kombinohet analiza kontekstuale me testimin e pavarur para se kodi të bashkohet dhe rreziku të ketë mundësi të përhapet.
Ndërsa AI rrit sasinë dhe shpejtësinë e zhvillimit të softuerit, ajo rrit edhe sasinë e rrezikut që ekipet e sigurisë duhet të vlerësojnë, të prioritizojnë dhe të zgjidhin. Kjo shton presion shtesë për organizatat që tashmë kanë një backlog të konsiderueshëm të vulnerabiliteteve të pazgjera.
Ky backlog e lejon borxhin e sigurisë të grumbullohet, sepse defektet identifikohen, por nuk zgjidhen, duke thënë që risku i njohur qëndron në aplikacione për një periudhë më të gjatë. Sa më shumë që ky borxh grumbullohet, aq më e vështirë dhe e shtrenjtë bëhet ulja e tij. Sot, borxhin e sigurisë e prekin 82% e organizatave, ndërkohë që borxhin e sigurisë kritike e prekin 60%.
Këto shifra tregojnë një kapacitet të kufizuar. Organizatat po gjenerojnë dhe zbulojnë rrezik më shpejt se sa mund ta zvogëlajnë atë. Traktimi i çdo gjetjeje si një gjë e njëjtë e urgjentë do të përkeqësojë vetëm këtë problem. Ekipet, prandaj, duhet të përqendrohen në shfrytëzueshmëri, rëndësinë e aplikacionit dhe ndikimin biznesor, në mënyrë që të drejtojnë kapacitetin e kufizuar të rimedimit drejt vulnerabiliteteve që janë më të prirur të shkaktojnë dëm të vërtetë.
Rimedimi i mbështetur nga AI mund të ndihmojë në mbylljen e gap-it midis zbulimit dhe veprimit duke propozuar zgjidhje brenda workflow-it të zhvilluesit dhe duke ulur punën manuale përsëritëse. Por rimedimi ende duhet të kontrollohet. Një zgjidhje e krijuar duhet të testohet, të vlerësohet dhe të kontrollohet për regresione. Objektivi duhet të jetë ulja e ekspozimit të rëndësishëm, dhe jo thjesht rritja e numrit të gjetjeve ose zgjidhjeve që kalojnë në sistem.
Kodi i asistuar nga AI është bërë pjesë e zhvillimit të softuerit. Si rezultat, udhëheqësit duhet të trajtojnë implikimet e sigurisë të tij si një ndryshim në modelin e operimit të softuerit.
Kjo do të thotë të dish se ku hyn kodi i krijuar nga AI në organizatë, të vlerësosh modelet nëpër kërkesat relevante të sigurisë, të ndërtoni verifikimin në workflow-t e zhvilluesve dhe të përqendroheni në rimedimin e rrezikut të shfrytëzueshëm biznesor. Kjo do të thotë gjithashtu të ruani dëshmi të asaj që është testuar, se çfarë është fiksuar dhe se cili rrezik është pranuar me dije.
Organizatat që do të suksesojnë nuk do të jenë ato që ngadalësojnë adoptimin e AI, por ato që evoluojnë praktikat e tyre të zhvillimit në mënyrë që siguria të mund të mbajë ritmin me krijimin e softuerit. AI po e bën më të lehtë të gjenerosh kod që funksionon, por testi i vërtetë është nëse bizneset mund të provojnë se është i sigurt para se të arrijë prodhimin.
Ky artikull është krijuar si pjesë e TechRadar Pro Perspectives, kanali ynë për të paraqitur mendimet më të mira dhe më të ndritura në industri të teknologjisë sot.
Duke qenë se nuk është dhënë asnjë tekst burim, nuk mund të kryej një përkthim. Ju lutem, furnizoni tekstin që dëshironi të përkthehet.
Burimi: TechRadar.com
