Kako zaštititi razvoj softvera kada AI višestruko ubrza isporuku
AI može pomoći razvojnim timovima da isporuče 10 do 50 puta više koda, dok bezbednosni timovi i dalje ljudskim tempom pregledaju ranjivosti, zavisnosti i prioritete ispravki. Vebinar kompanije Chainguard, The True Cost of Building at Machine Speed, bavi se pitanjem kako zadržati brzinu AI-potpomognutog razvoja bez proporcionalnog rasta rizika.
Promena nije ograničena na bezbednost pojedinačno generisanog dela koda. Kada se količina softvera naglo uveća, rastu i broj komponenti, zavisnosti, bezbednosnih nalaza i potrebnih intervencija. U takvom okruženju klasičan tok rada, u kojem skener pronalazi problem a timovi potom određuju prioritete i otklanjaju najvažnije propuste, dolazi pod snažan pritisak.
Više skeniranja ne znači nužno i bolju kontrolu
Izvor ukazuje da samo povećanje obima skeniranja ne rešava problem. Ono može proizvesti veći zaostatak nalaza koje je potrebno proceniti i rešiti. Zato se pitanje pomera sa samog otkrivanja ranjivosti na održavanje kontrole nad onim što ulazi u produkciju.
Pritisak je dodatno pojačan time što su AI modeli za pisanje i razumevanje softvera dostupni i napadačima. Kako se istovremeno ubrzavaju proizvodnja softvera i sposobnosti protivničke strane, bezbednosni timovi moraju upravljati širim napadnim prostorom bez oslanjanja na procese projektovane za znatno manji obim isporuke.
Kontrole moraju pratiti način na koji se softver danas gradi
Vebinar razmatra tačku na kojoj otklanjanje ranjivosti vođeno CVE oznakama počinje da gubi efikasnost pri mašinskom obimu rada. Tema su razvoj bezbedan po podrazumevanim postavkama, zaštitne ograde pre produkcije i kontrole koje ostaju funkcionalne kako usvajanje AI raste.
Upravljanje AI-potpomognutim razvojem nije samo inženjerska odluka. Bezbednosni rukovodioci treba da utvrde ko je vlasnik rizika, kolika se izloženost prihvata i kako se ti izbori objašnjavaju izvršnom rukovodstvu i upravnim strukturama. Taj okvir se nadovezuje na incidenti, ranjivosti i rastuće mogućnosti AI kroz potrebu da se incidenti, ranjivosti i rastuće mogućnosti AI sagledaju kao povezani operativni rizici.
Poslovni zaključak
Ubrzavanje razvoja ne mora značiti odustajanje od kontrole, ali zahteva da bezbednosni procesi budu prilagođeni novom ritmu rada. Za poslovanje je praktičan zaključak da kontrole, vlasništvo nad rizikom i upravljanje zavisnostima treba postaviti pre produkcije, kako bi brzina isporuke ostala prednost, a ne izvor nekontrolisanog bezbednosnog duga.