چرا کدنویسی هوش مصنوعی شکاف امنیتی نرم افزار را افزایش می دهد؟

دستیارهای کدنویسی هوش مصنوعی دیگر آزمایشی نیستند. در سازمان هایی که آنها را پذیرفته اند، هوش مصنوعی مسئول تقریبا نیمی از کدهای متعهد است. بنابراین، سوال دیگر این نیست که آیا توسعه‌دهندگان از هوش مصنوعی استفاده خواهند کرد یا خیر، بلکه این است که آیا برنامه‌های امنیتی می‌توانند بر آنچه که این سیستم‌ها تولید می‌کنند نظارت داشته باشند یا خیر. کد تولید شده توسط هوش مصنوعی در تولید کد صحیح نحوی با نرخ عبور 99.9 درصد بسیار خوب است. در مقابل، عملکرد امنیتی داستان بسیار متفاوتی را بیان می کند.

همانطور که مطرح می شود، میانگین نرخ عبور امنیتی تنها 56٪ است، به این معنی که تقریبا 44٪ از کارهای آزمایش شده تولید کد یک آسیب پذیری شناخته شده را معرفی می کنند. با افزایش حجم کدهای تولید شده توسط هوش مصنوعی در حالی که عملکرد امنیتی تا حد زیادی بدون تغییر باقی می ماند، سازمان ها در معرض خطر معرفی کدهای آسیب پذیرتر به محیط های توسعه خود هستند. در نتیجه، آسیب‌پذیری‌های نرم‌افزار اکنون با 31 درصد بالاترین نقطه ورود به نفوذ هستند و از اعتبارنامه‌های سرقت شده پیشی می‌گیرند.

از بین بردن این شکاف به معنای بازنگری در نحوه تطبیق امنیت با توسعه به کمک هوش مصنوعی است. سازمان‌ها باید از همان ابتدا امنیت را به بخشی از فرآیند توسعه تبدیل کنند، مدل‌هایی را با در نظر گرفتن ریسک انتخاب کنند و قبل از رسیدن به تولید، کد را در زمینه تأیید کنند. هدف کاهش سرعت توسعه دهندگان نیست. این اطمینان حاصل می شود که امنیت می تواند با همان سرعت و مقیاس نرم افزار در حال ایجاد عمل کند.

انتخاب مدل یک تصمیم امنیتی است

مدل‌های هوش مصنوعی از حجم عظیمی از کدهای تاریخی و در دسترس عموم، از جمله نمونه‌هایی از پروژه‌های منبع باز و جوامع توسعه‌دهنده، یاد می‌گیرند. این داده های آموزشی شامل پیاده سازی های ایمن است، اما همچنین شامل کتابخانه های قدیمی، اعتبار سنجی ضعیف و الگوهای کدگذاری ناامن است. در حالی که مدل‌ها برای تولید کدهای کاربردی و مفید طراحی شده‌اند، بدون کنترل‌های مناسب، می‌توانند آن الگوهای ناامن را در مقیاس تولید کنند.

سازمان ها نمی توانند هر منبعی را که برای آموزش یک مدل استفاده می شود کنترل کنند، اما می توانند کنترل کنند که کدام مدل ها وارد توسعه می شوند. قوی‌ترین مدل آزمایش‌شده به نرخ عبور امنیتی 68 درصد دست یافت، در حالی که شش مدل از 11 مدل بین 50 تا 53 درصد خوشه‌بندی شدند. بنابراین، انتخاب مدل صرفا یک تصمیم بهره‌وری نیست، بلکه یک ریسک است.

انتخاب یک مدل قوی تر می تواند نوردهی را کاهش دهد، اما به طور پیش فرض خروجی را قابل اعتماد نمی کند. کدهای تولید شده توسط هوش مصنوعی همچنان باید در طول چرخه عمر توسعه نرم افزار با استفاده از قابلیت هایی مانند تجزیه و تحلیل استاتیک و سیاست های امنیتی قابل اجرا آزمایش شوند. امنیت باید بخشی از فرآیند تحویل باشد.

امنیت به زمینه برنامه نیاز دارد

به نظر می‌رسد که کد تولید شده توسط هوش مصنوعی همانطور که در نظر گرفته شده است کار می‌کند، با موفقیت کامپایل می‌شود و تست‌های عملکردی را پشت سر می‌گذارد در حالی که هنوز حاوی آسیب‌پذیری‌های امنیتی است. تحت فشار ضرب الاجل، این امر می تواند اعتماد نابجا ایجاد کند، به خصوص زمانی که توسعه دهندگان خروجی را بدون درک کامل نحوه رفتار آن در داخل برنامه گسترده تر می پذیرند.

تفاوت در عملکرد امنیتی در انواع آسیب‌پذیری نشان می‌دهد که چرا زمینه اهمیت دارد. در حالی که مدل‌ها به نرخ عبور 83 درصدی برای تزریق SQL و 87 درصدی برای الگوریتم‌های رمزنگاری ناامن دست یافتند، عملکرد به 15 درصد برای اسکریپت‌نویسی متقابل سایت و 12 درصد برای تزریق گزارش کاهش یافت. برخی از نقاط ضعف را می توان از طریق یک الگوی کدگذاری قابل تشخیص شناسایی کرد، اما برخی دیگر اغلب به جریان داده، مجوز، مرزهای اعتماد و نحوه تعامل بخش های مختلف یک برنامه بستگی دارد.

به همین دلیل است که تأیید باید در گردش کار و در زمینه برنامه اتفاق بیفتد. تجزیه و تحلیل بومی هوش مصنوعی می تواند تشخیص ریسک زمینه ای را در کنار تجزیه و تحلیل ثابت ثابت اضافه کند، مسائلی مانند نقص های منطقی و احراز هویت شکسته را مستقیما در درخواست های کششی آشکار کند. نکته کلیدی این است که قبل از ادغام کد و احتمال گسترش ریسک، تجزیه و تحلیل زمینه را با آزمایش مستقل ترکیب کنید.

ریسک را اولویت بندی کنید، نه فقط یافته ها

همانطور که هوش مصنوعی حجم و سرعت توسعه نرم‌افزار را افزایش می‌دهد، میزان ریسک‌هایی را که تیم‌های امنیتی باید ارزیابی، اولویت‌بندی و اصلاح کنند نیز افزایش می‌دهد. این امر فشار بیشتری را به سازمان‌هایی می‌افزاید که در حال حاضر دارای تعداد قابل توجهی از آسیب‌پذیری‌های حل‌نشده هستند.

این عقب ماندگی باعث می شود تا بدهی های امنیتی با شناسایی نقص ها ایجاد شود، اما ثابت بماند، به این معنی که ریسک شناخته شده برای مدت طولانی تری در برنامه ها باقی می ماند. هر چه بدهی بیشتر انباشته شود، کاهش آن سخت تر و گران تر می شود. امروزه، بدهی های امنیتی بر 82 درصد از سازمان ها تأثیر می گذارد، در حالی که بدهی های امنیتی حیاتی بر 60 درصد تأثیر می گذارد.

این ارقام حاکی از یک مشکل رو به رشد ظرفیت است. سازمان ها سریعتر از آن که بتوانند ریسک را کاهش دهند، در حال تولید و کشف ریسک هستند. در نظر گرفتن هر یافته ای به عنوان یکسان فوری، آن مشکل را بدتر می کند. بنابراین، تیم‌ها باید بر قابلیت بهره‌برداری، اهمیت برنامه‌ها و تأثیر تجاری تمرکز کنند تا بتوانند ظرفیت محدود اصلاحی را به سمت آسیب‌پذیری‌هایی هدایت کنند که به احتمال زیاد باعث آسیب واقعی می‌شوند.

اصلاحات مبتنی بر هوش مصنوعی می‌تواند با پیشنهاد اصلاحات در جریان کار توسعه‌دهنده و کاهش کارهای دستی مکرر، شکاف بین کشف و عمل را کاهش دهد. اما اصلاح هنوز باید تحت کنترل باشد. یک اصلاح ایجاد شده باید آزمایش، اعتبار سنجی و برای رگرسیون بررسی شود. هدف باید کاهش قرار گرفتن در معرض معنی‌دار باشد، نه صرفا افزایش تعداد یافته‌ها یا اصلاحات در حال حرکت در سیستم.

کاری که رهبران اکنون باید انجام دهند

کد به کمک هوش مصنوعی در توسعه نرم افزار جاسازی شده است. در نتیجه، رهبران باید پیامدهای امنیتی آن را به عنوان یک تغییر در مدل عملیاتی نرم افزار تلقی کنند.

این بدان معناست که بدانید کد تولید شده توسط هوش مصنوعی کجا وارد سازمان می‌شود، مدل‌ها را بر اساس الزامات امنیتی مرتبط ارزیابی کنید، تأیید را در جریان‌های کاری توسعه‌دهندگان ایجاد کنید، و بر روی ریسک تجاری قابل بهره‌برداری تمرکز کنید. همچنین به معنای حفظ شواهدی از آنچه آزمایش شده است، چه چیزی ثابت شده است، و چه خطری آگاهانه پذیرفته شده است.

سازمان‌هایی که موفق می‌شوند سازمان‌هایی نیستند که پذیرش هوش مصنوعی را کند می‌کنند، بلکه سازمان‌هایی هستند که شیوه‌های توسعه خود را تکامل می‌دهند تا امنیت بتواند با ایجاد نرم‌افزار همگام شود. هوش مصنوعی تولید کد کار را آسان‌تر می‌کند، اما آزمون واقعی این است که آیا کسب‌وکارها می‌توانند قبل از رسیدن به تولید، ایمن بودن آن را ثابت کنند.

ما بهترین نرم افزار حفاظت نقطه پایانی را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit