Chainguard призвала перестроить DevSecOps для ИИ-разработки

Chainguard выпустила вебинар The True Cost of Building at Machine Speed о защите разработки с ИИ: такие инструменты позволяют командам производить в 10–50 раз больше кода, тогда как анализ уязвимостей, зависимостей и исправлений часто остаётся процессом человеческого масштаба.

Компания ставит вопрос не только о безопасности сгенерированного кода. Главная проблема — способность организации удерживать контроль над выпуском ПО, когда объём компонентов, зависимостей, результатов сканирования и необходимых исправлений растёт быстрее, чем их успевают проверить и обработать.

Сканирование не снимает проблему масштаба

Традиционный цикл application security строился последовательно: разработчики создавали код, сканеры выявляли проблемы, специалисты по безопасности расставляли приоритеты, а инженеры исправляли наиболее важные находки. При резком росте выпуска этот подход оказывается под давлением.

Chainguard отмечает, что простое увеличение числа проверок не является достаточным ответом. Оно способно сформировать ещё более крупную очередь результатов, если процессы приоритизации и устранения уязвимостей не рассчитаны на новый объём работы.

Одновременно ускоряется и другая сторона противостояния. Те же мощные модели ИИ, которые помогают разработчикам писать и понимать программы, доступны злоумышленникам. На фоне инцидентов с агентами ИИ, описанных в инцидентов с агентами искусственного интеллекта, организациям важно учитывать, что темп создания ПО и возможности атакующих могут расти параллельно.

Контроли до выхода в продакшен

Вебинар рассматривает момент, когда привычная модель устранения CVE начинает давать сбои, и предлагает обсудить разработку с безопасностью по умолчанию. Отдельное внимание уделено защитным барьерам, которые должны работать до попадания кода в производственную среду.

Речь идёт также об управлении. Использование ИИ в разработке становится не только инженерным решением: руководителям безопасности необходимо определить владельца риска, допустимый уровень экспозиции и способ объяснить эти решения руководству и совету директоров.

Chainguard не предлагает замедлять разработчиков ради контроля. Практический вывод для бизнеса состоит в другом: при внедрении ИИ стоит заранее соотнести процессы управления уязвимостями, зависимостями и выпуском кода с новой скоростью разработки, чтобы безопасность не стала ни узким местом, ни зоной потери контроля.