Írj biztonsági Photo Courtesy of: A Gartner szerint a GitHub Copilothoz hasonló mesterséges intelligencia asszisztensek bevezetése átalakította a szoftverfejlesztést.Az elemzők becslése szerint 2025-re az új kódok több mint 50%-a gépi eredetű lesz.Miközben ez felgyorsította a termelékenységet, új biztonsági kihívásokkal is szembesült. Azoknál a vállalatoknál, amelyek több ezer tárhelyet és függőséget kezelnek, a mesterséges intelligencia által előállított kódok áradata már bonyolult támadási felületet terjesztenek.Az IBM 2024-es jelentése szerint az adatok megsértésének átlagos költsége elérte a 4,45 millió dollárt, az ellátási lánc sebezhetőségét pedig az egyik leggyorsabban növekvő expozíciós forrásnak nevezik.Az Egyesült Államok, az Európai Unió és Japán kormányai szigorúbb követelményeket vezettek be az ellenőrizhető szoftverek származására vonatkozóan, és nyomást gyakoroltak a vállalatokra, hogy olyan biztonsági mechanizmusokat fogadjanak el, amelyek nyomon követhetik minden tárgy eredetét és integritását. "A fejlesztési sebesség felgyorsult a kézi ellenőrzés hatókörén túl" - mondta Rubi Arbel, a vállalat vezérigazgatója. „A szervezeteknek olyan rendszerekre van szükségük, amelyek minden lépést érvényesítenek és rögzítenek, függetlenül attól, hogy a kódot emberek írják-e vagy mesterséges intelligenciával generálják.” Írd le a biztonságot! Continuous Evidence and Policy Guardrails Folyamatos bizonyítékok és politikai őrök A Scribe Security a ScribeHub platformot azon az elképzelésen alapította, hogy a biztonság nem lehet egyszeri ellenőrzés. ahelyett, hogy kizárólag az időszakos szkennelésre támaszkodna, a ScribeHub a szoftverfejlesztés életciklusának minden szakaszában aláírt bizonyítékokat gyűjt. Ez lehetővé teszi a biztonsági csapatok számára, hogy visszaköveteljék a sérülékenységeket a konkrét kötelezettségvállalásokhoz, eszközökhöz vagy konfigurációkhoz. A kódként írt szabályzatok biztonsági követőként működnek, megakadályozva, hogy az ellenőrizetlen vagy megváltoztatott tárgyak eljussanak a telepítésbe. Ez a módszer vonzerejét szerezte a szabályozott iparágak körében, ahol az olyan megfelelőségi keretrendszerek, mint az SLSA, az NIST SSDF és az EU Cyber Resilience Act megkövetelik annak bizonyítását, hogy a szoftveralkatrészek megfelelnek a meghatározott biztonsági szabványoknak. Agentic Security: AI for Remediation Ügynöki biztonság: AI a helyreállításhoz Az AI-generált kód bevezetése elősegítette új dimenzió hozzáadása: AI-vezérelt javítás. Ahelyett, hogy algoritmusokat helyezne a műszerfalra, a vállalat olyan feladatspecifikus ügynökök hálózatát tervezte, amelyek kölcsönhatásba lépnek az aláírt tudásdiagrammal. Írj biztonsági Az egyik példa a „Remus”, egy ügynöki munkafolyamat, amely képes húzni a kéréseket a nem biztonságos függőségek vagy konfigurációs fájlok javítására. Egy másik, a „Compy” folyamatosan összehasonlítja az aláírt bizonyítékokat olyan szabványokkal, mint a PCI DSS vagy a FedRAMP, és a mindennapi fejlesztés részeként ellenőrzésre kész dokumentációt állít elő. „Az AI által generált javítások csak akkor működnek, ha ellenőrzött bizonyítékokkal vannak kötve” – magyarázta Arbel. „Az aláírt származás és az automatizált javítás kombinálásával mind az emberi munkaterhelést, mind az új hibák bevezetésének valószínűségét csökkenti.” Implications for CISOs and Developers Következmények a CISO-k és a fejlesztők számára A vezető információbiztonsági tisztviselők egyre nagyobb nyomással szembesülnek, hogy összeegyeztetjék a sebességet az elszámoltathatósággal. Sok szervezetben a biztonsági személyzetet a fejlesztők 1-től 100-ig terjedő arányban felülmúlják.Az automatizálás nélkül a riasztások kivizsgálása és az ellenőrzésekre való felkészülés elnyomhatja a csapatokat.Az ISACA 2025-ös felmérése szerint a vállalatok 66%-a jelentette, hogy nehézséget okoz a kiberbiztonsági szerepek betöltése, különösen a szoftverellátási lánc biztonságában. A fejlesztők számára a hagyományos biztonsági folyamatokat gyakran szűk keresztmetszetként tapasztalják meg. A bizonyítékgyűjtés és az ügynökök által vezérelt javítások közvetlenül a már használt eszközökbe történő integrálásával csökken a súrlódás. A húzási kérelmek magyarázatokkal érkeznek, a politikákat következetesen érvényesítik, és a megfelelőségi jelentéseket folyamatosan generálják. Market Forces and Regulatory Drivers Piaci erők és szabályozó tényezők A kiberbiztonsági piac várhatóan 2025-re 262 milliárd dollárról több mint 350 milliárd dollárra nő 2030-ra, a szoftverellátási lánc biztonságát pedig az egyik legfontosabb beruházási területnek nevezik.Az Egyesült Államokban az 14028, 14144 végrehajtási rendelet és a NIST SSDF megbízza a szövetségi vállalkozókat SBOM-k gyártására, míg az európai Cyber Resilience Act hasonló követelményeket vezet be a technológiai szolgáltatók számára. Ezek a szabályozási nyomások összhangban vannak az AI növekvő prevalenciájával a fejlesztés során.A vállalatok már nem támaszkodhatnak az ad hoc javításokra; folyamatos ellenőrzést kell bemutatniuk szoftvergyáraik számára. „A szoftverbe vetett bizalom most attól függ, hogy bizonyítani tudjuk, hogyan épült fel” – mondta Arbel. „Ezt a bizonyítékot ugyanolyan sebességgel kell generálni, mint maga a kód.”

This story contains new, firsthand information uncovered by the writer.

Ez a hanganyag a történet eredeti nyelvén készült!

Túl hosszú; Olvasni

Download free Tech Leaders Productivity Report!

Az AI-vezérelt ellátási lánc belsejében: Hogyan épít a Scribe biztonsága bizalmat a kód sebességében

About Author

HOZZÁSZÓLÁSOK

HANG TAGOK

EZT A CIKKET BEMUTATTA

Related Stories

INTRODUCTION

HackerNoon Contributor Denisa Ganea on HackerNoon, Human Existence, and Everything in Between

The Little Shop at Fishbourne

From Desk to HackerNoon: Your Ultimate Guide on How to Publish a Story

INTRODUCTION

HackerNoon Contributor Denisa Ganea on HackerNoon, Human Existence, and Everything in Between

The Little Shop at Fishbourne

From Desk to HackerNoon: Your Ultimate Guide on How to Publish a Story

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps