Avatud lähtekoodist on saanud tänapäevase tarkvaraarenduse alus. Peaaegu iga rakendus tugineb tänapäeval keerukale kolmandate osapoolte teekide, raamistike, mudelite ja ehitustööriistade võrgustikule. Ainuüksi see reaalsus toob juba kaasa olulisi muutusi. software supply chain security väljakutsed. Samal ajal on tehisintellekt sisenenud tarkvaraarenduse elutsükkel võimsa kiirendina, genereerides koodi, pakkudes välja sõltuvusi, automatiseerides parandusi ja mõjutades isegi arhitektuurilist kujundustcisioonid. Avatud lähtekoodiga tarkvara ja tehisintellekt on koos muutnud tarkvara loomise viisi ja paratamatult ka seda, kuidas seda rünnatakse. Tehisintellekti turvalisuse, tehisintellekti ja tarkvara turvalisuse kokkupuutepunkt... software supply chain security pole enam teoreetiline. See on nüüdseks üks peamisi tarkvara tarneahela riskiallikaid, millega inseneriorganisatsioonid silmitsi seisavad.
See reaalsus raamis meie hiljutist SafeDev vestlust: Avatud lähtekood, tehisintellekt ja uus rünnakupind: relvastatud kood, targemad kaitsemehhanismid... kus osalesid Red Hati, TikToki ja Xygeni turvajuhid. Arutelu keskendus sellele, millega turva- ja insenerimeeskonnad juba tootmiskeskkondades kokku puutuvad, eriti avatud lähtekoodiga tarneahela rünnakute, pahatahtlike avatud lähtekoodiga pakettide ja tehisintellektil põhineva tarkvaraarenduse kiiruse ja kontrolli vahelise kasvava pinge osas. Tekkis selge pilt: rünnakupind laieneb kiiremini, kui traditsioonilised turvamudelid suudavad sammu pidada, ning tehisintellekt toimib nii jõukordajana kui ka tehisintellekti turvalisuse ja -tehnoloogia pikaajaliste eelduste stresstestina. software supply chain security.
Kui see kirjeldus tundub ebamugavalt lähedane sellele, kuidas teie organisatsioon praegu tarkvara loob, pole see juhus. Paljud meeskonnad mõistavad alles siis, kui midagi katki läheb, kui palju usaldust on automatiseerimise poole nihkunud.
Tehisintellekti turvalisus ja Software Supply Chain Security Kas nüüd on sama probleem
Arutelu käigus oli korduvaks teemaks see, et tehisintellekti turvalisust ei saa enam käsitleda eraldi distsipliinina software supply chain securityTehisintellekti süsteemid ei tööta isoleeritult; need ehitatakse, treenitakse, juurutatakse ja integreeritakse sama süsteemi kaudu. pipelines, sõltuvused ja registrid, mis juba niigi võitlevad avatud lähtekoodiga tarneahela rünnakutega.
Tehisintellektil põhinevas tarkvaraarenduses pakuvad mudelid automaatselt koodi, genereerivad parandusi ja valivad sõltuvused. Need decisioonid mõjutavad otseselt avatud lähtekoodiga sõltuvuste haldamine, sageli ilma selgesõnalise inimliku kavatsuseta. Seetõttu ei ole sõltuvusrisk enam ainuüksi arendaja valiku küsimus; seda kujundab üha enam tehisintellekti käitumine.
See lähenemine tähendab, et tehisintellekti ja tarkvara turvalisuse tõrked avalduvad sageli traditsiooniliste tarneahela intsidentidena: ohustatud sõltuvused, rikutud ehitusartefaktid või haavatavad elemendid. CI/CD protsessid. Tööriistad võivad olla uued, kuid tarkvara tarneahela risk on väga reaalne ja seda on üha raskem põhjendada.
Kui teie ohumudelid eraldavad endiselt tehisintellekti riski ja tarneahela riski, võib olla mõttekas uuesti üle vaadata, kus see piir teie ehituse ja juurutamise töövoogudes tegelikult asub.
Avatud lähtekoodiga tarneahela rünnakud masina kiirusel
Avatud lähtekoodiga tarneahela rünnakud ei ole uued, kuid tehisintellekt muudab nende majandust. Ründajad ei vaja uusi tehnikaid; nad vajavad ulatust. Tehisintellekt võimaldab kiiret ökosüsteemi analüüsi, nõrkade sõltuvuste automaatset avastamist ja rünnakute kasuliku koormuse kiiret iteratsiooni.
Rünnaku seisukohast suurendab luure selline industrialiseerimine dramaatiliselt pahatahtlike avatud lähtekoodiga pakettidega rünnakute edukust. Komponente, mis varem oleksid jäänud märkamatuks, saab nüüd kiiresti avastada, analüüsida ja ära kasutada, sageli enne, kui kaitsjad aru saavad, et need on kasutusel.
See on põhjus, miks software supply chain security Ainult viivitusega signaalidele lootma jääda ei saa. Registrid, teated ja tagantjärele avalikustamine toimivad inimliku ajaskaalal, samas kui ründajad tegutsevad üha enam masina kiirusel. Sellest tulenev kokkupuuteaken on otsene panus tarkvara tarneahela riski kasvu.
Kui teie peamine tuvastussignaal on „register eemaldas paketi”, tegutsete juba ründaja ajajoonest allavoolu.
Kas soovite süveneda avatud lähtekoodiga tarkvara tarneahela rünnakutesse?
Sõltuvusrisk tehisintellektil põhinevas tarkvaraarenduses
Üks selgemaid riske, mida SafeDev vestluse käigus arutati, oli sõltuvusrisk, eriti keskkondades, mis tuginevad suuresti tehisintellektil põhinevale tarkvaraarendusele. Tehisintellektil põhinevad kodeerimisassistendid on optimeeritud mugavuse ja kiiruse, mitte rünnakupinna minimeerimise eesmärgil.
Praktikas viib see agressiivse sõltuvuste loomiseni. Uute teekide lisamise asemel kasutatakse olemasolevaid funktsioone uuesti. transitiivsed sõltuvused laiene vaikselt ja avatud lähtekoodiga sõltuvuse juhtimine muutub pigem reaktiivseks kui tahtlikuks. Aja jooksul kaotavad meeskonnad võime arutleda selle üle, mida nad tegelikult teevad.
See ei ole lihtsalt hügieeniprobleem. Iga uus sõltuvus toob kaasa täiendava tarkvara tarneahela riski, uusi usalduse eeldusi ja uusi võimalusi avatud lähtekoodiga tarneahela rünnakuteks. Kui sõltuvus vähenebcisKui ioonid automatiseeritakse ja neid vaadatakse pealiskaudselt üle, muutub sõltuvusrisk juhusliku asemel süsteemseks.
Kui teie sõltuvusgraafik kasvab kiiremini kui teie meeskond suudab seda seletada, pole see tööriistaprobleem, vaid usaldusprobleem.
Tehisintellekti kodeerimisassistendid, turvalisus ja ülevaatuse kokkuvarisemine
Teine arutatud rikkeviis oli vastastikuse eksperdihinnangu kaotamine tehisintellekti loodud koodi puhul. Tehisintellekti kodeerimisassistentide puhul ei seisne turvalisus ainult kiires sisestamises või mudeli väärkasutamises, vaid selles, kui palju läbivaatamata loogikat tootmissüsteemidesse satub.
Tehisintellekti loodud muudatused on sageli suured, sidusad ja ajalise surve all raskesti üle vaadatavad. Seetõttu muutub vastastikune hindamine pealiskaudseks või sümboolseks. See vaikne kokkuvarisemine eemaldab ühe kõige tõhusama kontrollimehhanismi. software supply chain security.
Probleem ei ole arendaja hooletus. See on töövoo ebaühtlus. Kui kiirust premeeritakse ja hõõrdumist karistatakse, nõrgenevad paratamatult inimtähelepanust sõltuvad tehisintellekti ja tarkvara turvakontrollid. Ründajad ei pea ülevaatust mööda hiilima, kui see enam barjäärina ei toimi.
Paljud meeskonnad eeldavad, et ülevaatus toimib endiselt, kuna protsess on olemas. Vähem neid, kes küsivad, kas see toimib endiselt sisuka kontrollimehhanismina.
Pahatahtlikud avatud lähtekoodiga paketid ja populaarsuse müüt
Avatud lähtekoodiga sõltuvuste haldamise puhul on levinud arvamus, et populaarsed projektid on turvalisemad. Tegelikkuses suurendab populaarsus sageli nähtavust. Laialdaselt kasutatavad teegid on väärtuslikud sihtmärgid avatud lähtekoodiga tarneahela rünnakud, eelcisely, sest kompromiss annab laialdase mõju.
Paljusid populaarseid projekte haldavad väikesed meeskonnad või üksikud inimesed. Isegi probleemide avastamisel jäävad pahatahtlikud avatud lähtekoodiga paketid sageli tundideks või päevadeks kättesaadavaks enne eemaldamist. Selle aja jooksul jätkavad organisatsioonid nende allaneelamist automatiseeritud järkude kaudu.
See viivitus rõhutab vajadust ennetava tegutsemise järele software supply chain security kontrollid. Kaasaegse tarkvara tarneahela riskiga silmitsi seistes ei piisa ainult populaarsusele, mainele või registritoimingutele lootmisest.
„Laialdaselt kasutatav” ei ole sama mis „aktiivselt kaitstud” ja selle sellisena käsitlemine on üks püsivamaid tarneahela väärarusaamu.
Tarkvara tarneahelate ja tehisintellekti turvalisuse päritolu
Arutelu käigus kerkis korduvalt esile vajadus päritolu kindlaksmääramiseks tarkvara tarneahelates. Tehisintellektiga toetatud keskkondades muutub omistamine hägusaks. Koodi võib genereerida mudel, muuta inimene, ühendada automatiseerimine ja juurutada ilma selge vastutuseta.
Ilma kontrollitava päritoluta on organisatsioonid sunnitud esemeid kaudselt usaldama. Tehisintellekti turvalisus nõuab nihet usalduselt kontrollimise poole: allkirjastatud esemed, build attestationsja jälgitav päritolu. Kuigi päritolu ei takista pahatahtlikku käitumist otseselt, vähendab see oluliselt ebaselgust ja piirab ründaja manööverdusvõimet.
See kehtib võrdselt nii mudelite, andmete kui ka koodi kohta. Tehisintellektil põhinevas tarkvaraarenduses on päritolu nii tehisintellekti kui ka tarkvara turvalisuse alusnõue.
SBOM ja tehisintellekti turvalisus tänapäevases Pipelines
Rolli roll SBOM ja tehisintellekti turvalisus oli veel üks kaudne teema. SBOMs pakuvad nähtavust sõltuvusgraafikutele, aga ainuüksi nähtavusest ei piisa. Tehisintellekti poolt intensiivsetes keskkondades SBOMpeavad arenema, et hõlmata mitte ainult teeke, vaid ka mudeleid, ehitusetappe ja automatiseeritud arendustcisioonid.
Kui see on ühendatud käitumise analüüs ja päritolu, SBOM ja tehisintellekti turvalisusest saavad võimsad tööriistad tarkvara tarneahela riski vähendamiseks. Need võimaldavad organisatsioonidel tuvastada ootamatuid muutusi, põhjendada nende mõju ja reageerida avatud lähtekoodiga tarneahela rünnakutele tõhusamalt.
CI/CD Pipeline Security Automatiseerimissurve all
Lõpuks CI/CD pipeline security kerkis esile kriitilise juhtimistasandina. Pipelineüha enam tehisintellekti süsteemide poolt soovitatud või käivitatud toiminguid. Kui need pipelineKuna neil puudub tugev identiteedikontroll, artefaktide kontrollimine ja poliitika jõustamine, muutuvad need ründajatele ideaalseteks sisenemispunktideks.
Ebapiisav CI/CD pipeline security võimaldab pahatahtlikel avatud lähtekoodiga pakettidel mõjutada mitte ainult tootmissüsteeme, vaid ka arendajakeskkondi ja ehitusinfrastruktuuri. Automatiseerimise suurenedes pipelinetuleb käsitleda kõrge väärtusega varadena software supply chain security programme.
Vaata SafeDevi vestlust
Et kõigist neist arusaamadest otse valdkonna kujundajatelt rohkem teada saada, vaadake täispikka videot. SafeDevi vestlus: Avatud lähtekood, tehisintellekt ja uus rünnakupind: relvastatud kood, targemad kaitsemehhanismid, kus on Roman Žukov (Punamüts), Leon Johnson (TikTok)ja Luis Rodríguez Berzosa (Xygeni).
Praktilised tagajärjed tehisintellekti turvalisusele ja Software Supply Chain Security
Nende muutuste praktilised tagajärjed ulatuvad tööriistadest kaugemale. Organisatsioonid peavad mõistma, et tehisintellekti turvalisus, tehisintellekti ja tarkvara turvalisus ning software supply chain security on nüüd sügavalt läbi põimunud. DecisKunagi madala riskiga peetud sõltuvusvärskendused, koodi genereerimine ja automatiseerimine kannavad nüüd endas märkimisväärset tarkvara tarneahela riski, eriti kui need decisIoonid luuakse kaudselt tööriistade, mitte otseselt inimeste poolt.
SafeDev-ettekandes võeti see punkt lühidalt kokku. Nagu üks esineja ütles: Kui tehisintellekti süsteemid osalevad tarkvaraarenduses, ei turvameeskonnad enam ainult koodi turvamisega; nad turvavad ka decisioonid. Automatiseerimine ei võta vastutust ära, see jaotab selle ümber.
Praktikas tähendab see tahtlikkuse taastamist seal, kus mugavus on võimust võtnud. Avatud lähtekoodiga sõltuvuste haldamine peab arvestama tehisintellekti juhitud käitumisega, mitte eeldama inimlikku kaalutlust. Sõltuvusriski ei saa enam käsitleda juhusliku ülevaateharjutusena.cise. CI/CD pipeline security peab jõustama kontrollimise, mitte eeldama healoomulist sisendit. Ja tarkvara tarneahelates peab päritolu liikuma püüdlusest baasjooneni.
Teine arutelu käigus saadud tähelepanek oli see, et kiirus iseenesest ei ole enam neutraalne. Enamik tarneahela tõrkeid ei tulene ühest katastroofilisest sündmusest.cisioonist, vaid paljudest väikestest automatiseeritud valikutest, mida keegi otseselt heaks ei kiitnud. See on eelnevcisMiks traditsioonilised usaldusmudelid tehisintellektil põhineva tarkvaraarenduse tingimustes ebaõnnestuvad.
Miski sellest ei tähenda avatud lähtekoodist või tehisintellektist loobumist. Vastupidi, see tunnistab nende keskset rolli tänapäevases inseneriteaduses. Kuid ilma turvaeelduste arendamiseta riskivad organisatsioonid lasta automatiseerimisel vaikimisi usaldust määratleda.
Kokkuvõtteks…
Kasulik viis selle muutuse üle järele mõelda on see, et software supply chain security ei ole enam ainult esemete kaitsmine. See puudutab kaitsmist decisioonteedTehisintellektiga toetatud maailmas pole kõige olulisemad turvaküsimused mitte ainult „Kas see komponent on haavatav?“, vaid ka „Miks see võeti kasutusele, kelle või mille poolt ja milliste piirangute alusel?“. Organisatsioonid, mis selle raamistikuga kohanevad, ei kõrvalda riski, kuid see üllatab neid palju vähem.
