Garatzaile batek IDEa irekitzen du, nahi duena deskribatzen du ingeles arruntean, eta IA agente batek funtzioa idazten ikusten du kafea hartzeko behar den denboran. Konpilatzen da. Eskuzko klik egitea gainditzen du. Bidaltzen da. Inork ez du galdetu segurua zen ala ez, inork ez duelako ezer askorik galdetu. Galderak ordezkatu zuen... pull request, eta “funtzionatzen du”-k “berrikusi dut” ordezkatu zuen. Hori da bibrazio-kodeketa, eta ez da ohitura marjinal bat jada. Ekoizpen-kodearen zati gero eta handiagoa idazteko modua da, talde profesionalek, ez asteburuko aplikazio batekin esperimentatzen duten zaletuek soilik. Eta horregatik bihurtu da bibrazio-kodeketaren segurtasuna ingeniaritza eta segurtasun-lider guztiek duten elkarrizketa, izena jarri dioten ala ez.
Zer esan nahi du benetan "bibrazio kodeketak"
Vibrazio kodeketa software garapena da, non pertsona batek nahi den emaitza hizkuntza naturalean deskribatzen duen eta IA eredu batek, edo eredu horretan oinarritutako agente batek, funtzionatzen duen kodea sortzen duen. Pertsonak emaitzaren arabera gidatzen du (“eraiki bat”). login "fluxua", "CSV esportazio bat gehitu") inplementazioa idatziz edo lerroz lerro berrikusiz baino. Terminoa zabaldu egin zen benetako zerbait jasotzen duelako: garatzailea irteera zuzena delako sentsazioan oinarritzen da, ez kodea bera irakurrita.
Aldaketa hori da istorio osoa. Kodearen berrikuspena softwarea idazteko moduan txertatutako kontrol-puntu bat zen. Vibre kodeketak diseinuaren bidez horren inguruan ibili behar du. Abiadura handitzen da. "Zer egiten du honek benetan" galdetzeko ohitura desagertzen da.
Zergatik den "funtzionatzen du" barra okerra
«Funtzionatzen du» esan nahi du kodeak eskatutakoa egin duela, probatu den eszenatokian. Ez du ezer esaten inork galdetu ez dituen eszenatokietan kodeak zer egiten duenari buruz: sarrera okerra, gehiegi fidatzen zaion amaiera-puntua aztertzen duen erabiltzaile autentifikatu bat, inoiz egiaztatu ez den menpekotasun bat, begien bistan dagoen sekretu finko bat. Hemen huts egiten du bibrazio-kodeketaren segurtasunak inork arazorik dagoenik ohartu baino lehen.
Adimen artifizialaren kodetze-ereduak entrenatzen dira gonbidapen baten asmoarekin bat datorren irteera funtzionala sortzeko. Segurtasuna ez da funtzio objektiboa. "Honek eskaera betetzen du" optimizatzen duen eredu batek pozik sortuko du parametroen ordez kateatze-kateekin eraikitako kontsulta bat, sarbide-kontrolik gabeko amaiera-puntua, gonbidapenak ez duelako inoiz aipatzen nork ez lukeen sarbiderik izan behar, edo balioztatu beharko lukeen erantzun batean konfiantza duen API dei bat. Konpilatzen du. Funtzionatzen du. Gainera, AppSec taldeek hamarkada bat eman duten ahultasun-klase berdinak aurkezten ditu, garatzaileak trebatzen, eskuzko berrikuspen-prozesu batek ere ez zuen pareko erritmoan sortuak.
IA bidez sortutako kodeari buruzko barne-ikerketak zenbaki errealak intuizioaren atzean jartzen ditu: kodeketa-tresna agenteek sortzen dutenaren zati esanguratsu batek segurtasun-akats ustiagarri bat dauka lehen aldiz, berrikuspenik egin aurretik. Hori ez da eredu bakar bateko akats bat. "Funtzionatzen duen" optimizatzearen emaitza espero da, ez "irauten duen", eta kodeketa-segurtasunak itxi behar duen hutsune zehatza da.
Arrisku-azalera kodea bera baino zabalagoa da
Vibe kodeketa segurtasuna askotan gisa planteatzen da kodearen kalitatearen arazoa, baina esposizioa lan-fluxu osoa zeharkatzen du agenteak ukitzen du, ez bakarrik duen funtzioa idatzi zuen:
Zergatik atzeratzen diren AppSec tresna tradizionalak hemen
Aplikazioen segurtasun tresna gehienak erritmo baten inguruan eraiki ziren: kodea idazten da, eta gero eskaneatzen da, CI-n edo PR-n. Erritmo horrek suposatzen du eskaner bat zuzentzeko artefaktu egonkor eta gizaki batek idatzitako bat dagoela, eta aldaketa bolumena zerbait dela. pipeline nahita berrikusi dezake.
Vibrazio kodeketak denbora hausten du, eta denbora-tarte hori da Vibrazio kodeketaren segurtasun arazoaren muina. Kodea segundo gutxitan aldatzen da IDE barruan, askotan puntu batera iritsi baino lehen. pull requestCI-n bakarrik exekutatzen den eskaner batek arazoa gertaeraren ondoren harrapatzen du, behin eredu ez-segurua batuta dagoenean, beste norbaitek eraikitzen ari den hurrengo funtzioaren parte dena. Eta IA-k sortutako kodea beste edozein kode bezala tratatzen duen eskaner batek arriskuaren idatzitako moduari dagozkion zatiak galtzen ditu: agenteak justifikatzeko eskatu gabe aukeratu zuen paketea, agenteari zer egin behar zuen esaten zion instrukzio fitxategia gizaki batek desberdintasun bat ikusi aurretik.
Zerk ixten du benetan hutsunea
Aurreratzen ari diren erakundeek ez dute bibrazio-kodeketa moteltzen. Benetako bibrazio-kodeketaren segurtasuna txertatzen ari dira lan-fluxuan: kontrol-puntua kodea benetan idatzi den lekura eramanez, eta IA bidez sortutako kodea sarrera fidagarri ez den gisa tratatuz, kontrakoa frogatu arte:
- Eskaneatu IDE barruan, ez CI-n bakarrik. Agenteak funtzioa sortzen ari den bitartean eredu ez-seguru bat harrapatzea arazo desberdina da beste hiru ezaugarri haren menpe daudenean harrapatzearekin alderatuta.
- Balioztatu agente batek aurkezten duen menpekotasun bakoitza, garatzaile batek eskuz idatzitako bat balioztatuko zenukeen modu berean, instalatu aurretik.
- Tratatu agente batek irakurtzen dituen konfigurazio fitxategiak kode gisa, ez dokumentazio gisa. Arau-fitxategiek, trebetasun-fitxategiek eta MCP zerbitzariaren konfigurazioek agente batek egiten duena aldatzen duten argibideak izan ditzakete, eta agenteak sortzen duen kodeak bezainbesteko azterketa merezi dute.
- Mantendu gizaki bat konponketaren berri, ez banderaren berri bakarrik. Zerbait zergatik den ustiagarria ikusten duen garatzaile batek, ez bakarrik arau bat eragin duela ikusten duenak, hurrengoan modu ezberdinean galdetzen eta berrikusten ikasten du.
- Demagun "funtzionatzen du" ez zela inoiz segurtasun-barra izan, eta benetako barra ikusgai egin lan-fluxuan, memorian utzi beharrean.
Non egokitzen den Xygeni
Hau da, hain zuzen ere, jostura Xygeniren DevAI ixteko eraiki zen. DevAI IDEaren barruan segurtasun geruza jarraitu gisa exekutatzen da, gizakiak idatzitako eta IA bidez sortutako kodea sortzen den heinean ikusten du, ez sartu ondoren. pull requestEz du galdera baten zain egoten: ustia daitezkeen ereduak markatzen ditu, benetako eraso-bidea hizkuntza arruntean azaltzen du eta garatzaileak berrikusi eta aplika dezakeen konponketa bat proposatzen du bere fluxua utzi gabe. Hornikuntza-katearen aldean, MEW (Malwarearen Abisu Goiztiarra) pakete gaiztoak harrapatzen ditu sinadura bat existitu baino lehen, eta horrek zuzenean eragiten du hemen, agente batek zure izenean menpekotasun bat aukeratzen duelako pakete hondatu edo konprometitu bat sartzen den unea baita.
Bien azpian, CoreAI-k kode-basean, mendekotasunetan eta aurkitzen dena korrelatzen du. pipeline arriskuen ikuspegi lehenetsi bakar batean, eta ikuspegi hori ez dago mugatuta Xygeni-ren eskaneatze propioak. Gauza bera aplikatzen du IA sailkapena, azalpena eta konponketa dagoeneko martxan dauden beste eskanerren aurkikuntzetara, beraz, bibrazio-kodeketa ziurtatzeak ez du esan nahi dagoeneko funtzionatzen duen pila bat erauztea. Gainean geruza bat jartzea esan nahi du, azkenean kodea idazten ari den abiaduran mugitzen dena.
ohiko galderak
Vibrazio-kodeketa berez ez al da segurua?
Ez. Vibe kodeketa garapen metodo bat da, ez ahultasun bat. Arriskua lehen eredu ez-seguruak detektatzen zituen berrikuspen urratsa saltatzetik dator, ez kodea idazteko IA erabiltzeagatik, lehenik eta behin. Horregatik da vibe kodeketaren segurtasuna lan-fluxuaren diziplina bat, ez praktika hori saihesteko arrazoi bat.
Dagoeneko existitzen den SAST or SCA Tresnek bibre-kodeketaren segurtasun-arriskuak harrapatzen dituzte?
Zati bat harrapatzen dute, baina normalean kodea batu ondoren, gehienak CI-n exekutatzen baitira, kodea sortzen den IDE-an baino. Normalean ez dute IA agentearen beraren portaera ebaluatzen, hala nola aukeratzen dituen paketeak edo irakurtzen dituen konfigurazio fitxategiak.
Zein da bibrazio-kodeketaren segurtasunerako konponbide eraginkorrena?
Mugitu segurtasun-egiaztapenak IDEra, sorkuntza-puntuan, geroagoko batean bakarrik fidatu beharrean. pipeline eskaneatu. Arazo bat haren gainean eraikitako hurrengo hiru funtzioen parte izan aurretik harrapatzea arazo desberdina da ondoren harrapatzearekin alderatuta.
Vibre kodeketa ziurtatzeak garatzaileak moteltzea esan nahi al du?
Ez egiaztapena IDEan bertan egiten bada, azalpen batekin eta konponketa prest batekin. Helburua kodeketak eskaintzen duen abiadura mantentzea da, eskuzko berrikuspenak ematen zuen epaia berreskuratzen den bitartean.
