متنباز به پایه و اساس توسعه نرمافزار مدرن تبدیل شده است. تقریباً هر برنامهای امروزه به شبکهای پیچیده از کتابخانهها، چارچوبها، مدلها و ابزارهای ساخت شخص ثالث متکی است. همین واقعیت به تنهایی در حال حاضر موارد قابل توجهی را معرفی میکند. software supply chain security چالشها. در عین حال، هوش مصنوعی وارد شده است چرخه عمر نرم افزار به عنوان یک شتابدهنده قدرتمند، کد تولید میکند، وابستگیها را پیشنهاد میدهد، اصلاحات را خودکار میکند و حتی بر طراحی معماری تأثیر میگذارد.cisیونها متنباز و هوش مصنوعی در کنار هم، نحوه ساخت نرمافزار و ناگزیر نحوه حمله به آن را متحول کردهاند. تلاقی امنیت هوش مصنوعی، هوش مصنوعی و امنیت نرمافزار، و software supply chain security دیگر تئوری نیست. اکنون یکی از منابع غالب ریسک زنجیره تأمین نرمافزار است که سازمانهای مهندسی با آن مواجه هستند.
این واقعیت، چارچوب گفتگوی اخیر ما در زمینه توسعه ایمن (SafeDev) را شکل داد: متنباز، هوش مصنوعی و سطح جدید حمله: کد مسلح، دفاع هوشمندتربا حضور رهبران امنیتی از Red Hat، TikTok و Xygeni. این بحث بر روی آنچه تیمهای امنیتی و مهندسی در حال حاضر در محیطهای تولید، به ویژه در مورد حملات زنجیره تأمین متنباز، بستههای متنباز مخرب و تنش فزاینده بین سرعت و کنترل در توسعه نرمافزار مبتنی بر هوش مصنوعی، تجربه میکنند، متمرکز بود. آنچه پدیدار شد، تصویر روشنی بود: سطح حمله سریعتر از آنچه مدلهای امنیتی سنتی بتوانند با آن همگام شوند، در حال گسترش است و هوش مصنوعی هم به عنوان یک عامل افزایشدهنده نیرو و هم به عنوان یک آزمون استرس برای فرضیات دیرینه در امنیت هوش مصنوعی عمل میکند و software supply chain security.
اگر این توصیف به طرز ناخوشایندی به نحوهی ساخت نرمافزار در سازمان شما نزدیک است، این تصادفی نیست. بسیاری از تیمها تنها پس از بروز مشکل متوجه میشوند که چقدر اعتماد به اتوماسیون تغییر کرده است.
امنیت هوش مصنوعی و Software Supply Chain Security الان هم همین مشکل را دارند
یکی از مضامین تکرارشونده در طول بحث این بود که دیگر نمیتوان با امنیت هوش مصنوعی به عنوان یک رشته جداگانه برخورد کرد. software supply chain securityسیستمهای هوش مصنوعی به صورت جداگانه عمل نمیکنند؛ آنها از طریق یک شبکه ساخته، آموزش دیده، مستقر و یکپارچه میشوند. pipelineها، وابستگیها و رجیستریهایی که در حال حاضر با حملات زنجیره تأمین متنباز دست و پنجه نرم میکنند.
در توسعه نرمافزار مبتنی بر هوش مصنوعی، مدلها به طور خودکار کد پیشنهاد میدهند، اصلاحات را ایجاد میکنند و وابستگیها را انتخاب میکنند. این مواردcisیونها مستقیماً تأثیر میگذارند مدیریت وابستگی متنباز، اغلب بدون قصد صریح انسانی. در نتیجه، ریسک وابستگی دیگر صرفاً توسط انتخاب توسعهدهنده هدایت نمیشود؛ بلکه به طور فزایندهای توسط رفتار هوش مصنوعی شکل میگیرد.
این همگرایی به این معنی است که شکست در هوش مصنوعی و امنیت نرمافزار اغلب به صورت حوادث سنتی زنجیره تأمین آشکار میشود: وابستگیهای در معرض خطر، مصنوعات ساختوساز آلوده یا آسیبپذیریها. CI/CD فرآیندها. این ابزار ممکن است جدید باشد، اما ریسک زنجیره تأمین نرمافزار بسیار واقعی و به طور فزایندهای دشوار است که بتوان در مورد آن استدلال کرد.
اگر مدلهای تهدید شما هنوز «ریسک هوش مصنوعی» را از «ریسک زنجیره تأمین» جدا میکنند، شاید ارزش داشته باشد که دوباره بررسی کنید که این مرز در گردشهای کاری ساخت و استقرار شما واقعاً کجا وجود دارد.
حملات زنجیره تأمین متنباز با سرعت ماشین
حملات زنجیره تأمین متنباز چیز جدیدی نیستند، اما هوش مصنوعی اقتصاد آنها را تغییر میدهد. مهاجمان به تکنیکهای جدید نیاز ندارند؛ آنها به مقیاسپذیری نیاز دارند. هوش مصنوعی امکان تجزیه و تحلیل سریع اکوسیستم، کشف خودکار وابستگیهای ضعیف و تکرار سریع بارهای حمله را فراهم میکند.
از دیدگاه تهاجمی، این صنعتیسازی شناسایی، میزان موفقیت حملات مربوط به بستههای متنباز مخرب را به طرز چشمگیری افزایش میدهد. اجزایی که قبلاً مورد توجه قرار نمیگرفتند، اکنون میتوانند به سرعت کشف، تجزیه و تحلیل و مورد سوءاستفاده قرار گیرند، اغلب قبل از اینکه مدافعان متوجه شوند که در حال استفاده هستند.
این به همین دلیل است software supply chain security نمیتوان تنها به سیگنالهای تأخیری تکیه کرد. ثبتها، مشاورهها و افشاگریهای پس از وقوع، در مقیاسهای زمانی انسانی عمل میکنند، در حالی که مهاجمان به طور فزایندهای با سرعت ماشین عمل میکنند. بازه زمانی افشای حاصل، عامل مستقیمی در افزایش ریسک زنجیره تأمین نرمافزار است.
اگر سیگنال تشخیص اولیه شما «بسته توسط رجیستری حذف شد» باشد، شما در حال حاضر در پاییندست جدول زمانی مهاجم فعالیت میکنید.
آیا میخواهید عمیقاً به حملات زنجیره تأمین نرمافزار متنباز بپردازید؟
ریسک وابستگی در توسعه نرمافزار مبتنی بر هوش مصنوعی
یکی از واضحترین خطراتی که در طول SafeDev Talk مورد بحث قرار گرفت، خطر وابستگی بود، به ویژه در محیطهایی که به شدت به توسعه نرمافزار مبتنی بر هوش مصنوعی متکی هستند. دستیارهای کدنویسی هوش مصنوعی برای راحتی و سرعت بهینه شدهاند، نه برای به حداقل رساندن سطح حمله.
در عمل، این منجر به معرفی وابستگیهای تهاجمی میشود. به جای استفاده مجدد از قابلیتهای موجود، کتابخانههای جدید اضافه میشوند. وابستگیهای انتقالی بیصدا گسترش پیدا کنید، و متنباز باشید مدیریت وابستگی به جای عمدی بودن، واکنشی میشود. با گذشت زمان، تیمها توانایی استدلال در مورد آنچه که واقعاً اجرا میکنند را از دست میدهند.
این صرفاً یک مسئله بهداشتی نیست. هر وابستگی جدید، ریسک زنجیره تأمین نرمافزار اضافی، فرضیات اعتماد جدید و فرصتهای جدیدی برای حملات زنجیره تأمین متنباز ایجاد میکند. وقتی وابستگی کاهش مییابدcisاگر یونها خودکار شوند و به صورت سطحی بررسی شوند، ریسک وابستگی به جای تصادفی بودن، سیستماتیک میشود.
اگر نمودار وابستگی شما سریعتر از توانایی تیمتان برای توضیح آن در حال رشد است، این یک مشکل ابزاری نیست؛ بلکه یک مشکل اعتماد است.
دستیاران کدنویسی هوش مصنوعی، امنیت و فروپاشی نقد و بررسی
یکی دیگر از حالتهای شکست مورد بحث، فرسایش بررسی دقیق در حضور کد تولید شده توسط هوش مصنوعی بود. دستیاران کدنویسی هوش مصنوعی، امنیت فقط مربوط به تزریق سریع یا سوءاستفاده از مدل نیست؛ بلکه مربوط به میزان ورود منطق بررسی نشده به سیستمهای تولید است.
تغییرات ایجاد شده توسط هوش مصنوعی اغلب بزرگ، منسجم و بررسی آنها تحت فشار زمانی دشوار است. در نتیجه، بررسی همتا سطحی یا نمادین میشود. این فروپاشی آرام، یکی از مؤثرترین کنترلها را از بین میبرد. software supply chain security.
مشکل سهلانگاری توسعهدهنده نیست. مشکل ناهماهنگی گردش کار است. وقتی سرعت پاداش داده میشود و اصطکاک جریمه میشود، کنترلهای امنیتی هوش مصنوعی و نرمافزار که به توجه انسان وابسته هستند، ناگزیر تضعیف میشوند. اگر بررسی دیگر به عنوان یک مانع عمل نکند، مهاجمان نیازی به دور زدن بررسی ندارند.
بسیاری از تیمها فرض میکنند که بررسی هنوز هم مؤثر است زیرا این فرآیند وجود دارد. تعداد کمتری میپرسند که آیا هنوز به عنوان یک کنترل معنادار عمل میکند یا خیر.
بستههای متنباز مخرب و افسانهی محبوبیت
یک باور رایج در مدیریت وابستگیهای متنباز این است که پروژههای محبوب امنتر هستند. در واقع، محبوبیت اغلب باعث افزایش دیده شدن میشود. کتابخانههای پرکاربرد، اهداف ارزشمندی برای حملات زنجیره تأمین متنباز، برایcisبه این دلیل که مصالحه تأثیر گستردهای در پاییندست دارد.
بسیاری از پروژههای محبوب توسط تیمهای کوچک یا افراد منفرد نگهداری میشوند. حتی زمانی که مشکلات شناسایی میشوند، بستههای متنباز مخرب اغلب برای ساعتها یا روزها قبل از حذف در دسترس باقی میمانند. در طول این مدت، سازمانها همچنان از طریق ساختهای خودکار، آنها را مصرف میکنند.
این تأخیر، نیاز به اقدامات پیشگیرانه را تقویت میکند. software supply chain security کنترلها. تکیه صرف بر محبوبیت، اعتبار یا اقدام ثبت، هنگام مواجهه با ریسک زنجیره تأمین نرمافزار مدرن کافی نیست.
«استفاده گسترده» با «دفاع فعال» یکی نیست، و برخورد با آن به این شکل، یکی از رایجترین تصورات غلط در زنجیره تأمین است.
منشأ در زنجیرههای تأمین نرمافزار و امنیت هوش مصنوعی
در طول بحث، نیاز به منشأ در زنجیرههای تأمین نرمافزار بارها مطرح شد. در محیطهای مبتنی بر هوش مصنوعی، انتساب مبهم میشود. کد ممکن است توسط یک مدل تولید شود، توسط یک انسان اصلاح شود، توسط اتوماسیون ادغام شود و بدون پاسخگویی واضح به کار گرفته شود.
بدون منشأ قابل تأیید، سازمانها مجبورند به طور ضمنی به مصنوعات اعتماد کنند. امنیت هوش مصنوعی مستلزم تغییر از اعتماد به سمت تأیید است: مصنوعات امضا شده، build attestationsو ریشههای قابل ردیابی. اگرچه منشأ به طور کامل از رفتار مخرب جلوگیری نمیکند، اما ابهام را به میزان قابل توجهی کاهش میدهد و قدرت مانور مهاجم را محدود میکند.
این موضوع به طور یکسان در مورد مدلها، دادهها و کد صدق میکند. در توسعه نرمافزار مبتنی بر هوش مصنوعی، منشأ یک الزام اساسی برای امنیت هوش مصنوعی و نرمافزار است.
SBOM و امنیت هوش مصنوعی در دنیای مدرن Pipelines
نقش SBOM و امنیت هوش مصنوعی یکی دیگر از مضامین ضمنی بود. SBOMs امکان مشاهده نمودارهای وابستگی را فراهم میکند.، اما قابلیت دید به تنهایی کافی نیست. در محیطهای سنگین هوش مصنوعی، SBOMباید تکامل یابند تا نه تنها کتابخانهها، بلکه مدلها، مراحل ساخت و توسعه خودکار را نیز در بر بگیرند.cisیونها
هنگامی که با ترکیب می شود تحلیل رفتار و منشأ, SBOM و امنیت هوش مصنوعی به ابزارهای قدرتمندی برای کاهش ریسک زنجیره تأمین نرمافزار تبدیل میشوند. آنها به سازمانها اجازه میدهند تغییرات غیرمنتظره را تشخیص دهند، تأثیر آنها را بررسی کنند و به حملات زنجیره تأمین متنباز، واکنش مؤثرتری نشان دهند.
CI/CD Pipeline Security تحت فشار اتوماسیون
در نهایت، CI/CD pipeline security به عنوان یک صفحه کنترل بحرانی پدیدار شد. Pipelineبه طور فزایندهای اقداماتی را که توسط سیستمهای هوش مصنوعی پیشنهاد یا اجرا میشوند، اجرا میکنند. اگر این موارد pipelineاز آنجایی که این شبکهها فاقد کنترلهای قوی هویت، تأیید صحت مصنوعات و اجرای سیاستها هستند، به نقاط ورود ایدهآلی برای مهاجمان تبدیل میشوند.
ناکافی CI/CD pipeline security به بستههای متنباز مخرب اجازه میدهد نه تنها سیستمهای تولیدی، بلکه محیطهای توسعهدهندگان و زیرساختهای ساختوساز را نیز تحت تأثیر قرار دهند. با افزایش اتوماسیون، pipelineباید به عنوان داراییهای با ارزش بالا در نظر گرفته شوند. software supply chain security برنامه ها.
گفتگوی SafeDev را تماشا کنید
برای شنیدن اطلاعات بیشتر در مورد همه این بینشها مستقیماً از زبان متخصصانی که این حوزه را شکل میدهند، ویدیوی کامل را تماشا کنید. بحث توسعه امن: متنباز، هوش مصنوعی و سطح جدید حمله: کد مسلح، دفاع هوشمندتر، برجسته رومن ژوکوف (کلاه قرمزی), لئون جانسون (تیک تاک)و لوئیس رودریگز برزوسا (Xygeni).
پیامدهای عملی برای امنیت هوش مصنوعی و Software Supply Chain Security
پیامدهای عملی این تغییرات فراتر از ابزارسازی است. سازمانها باید تشخیص دهند که امنیت هوش مصنوعی، امنیت هوش مصنوعی و نرمافزار، و software supply chain security اکنون عمیقاً در هم تنیده شدهاند. دcisمواردی که زمانی کمریسک تلقی میشدند، بهروزرسانیهای وابستگی، تولید کد و اتوماسیون، اکنون ریسک زنجیره تأمین نرمافزار معناداری را به همراه دارند، بهویژه زمانی کهcisیونها به طور ضمنی توسط ابزارها ساخته میشوند نه به طور صریح توسط افراد.
در طول گفتگوی SafeDev، این نکته به طور خلاصه بیان شد. همانطور که یکی از سخنرانان بیان کرد، وقتی سیستمهای هوش مصنوعی در توسعه نرمافزار مشارکت میکنند، تیمهای امنیتی دیگر فقط کد را ایمن نمیکنند؛ آنها دادهها را نیز ایمن میکنند.cisاتوماسیون مسئولیت را از بین نمیبرد؛ بلکه آن را توزیع مجدد میکند.
در عمل، این به معنای بازگرداندن هدفمندی در جایی است که راحتی غلبه کرده است. مدیریت وابستگی متنباز باید رفتار مبتنی بر هوش مصنوعی را در نظر بگیرد، نه اینکه بر اساس مشورت انسانی باشد. ریسک وابستگی دیگر نمیتواند به عنوان یک تمرین بررسی گاه به گاه در نظر گرفته شود.cise. CI/CD pipeline security باید تأیید را اعمال کند، نه اینکه ورودیهای بیخطر را فرض کند. و منشأ در زنجیرههای تأمین نرمافزار باید از حالت آرمانی به حالت پایه تغییر کند.
یکی دیگر از یافتههای این بحث این بود که خودِ سرعت دیگر خنثی نیست. اکثر شکستهای زنجیره تأمین ناشی از یک خطای فاجعهبار واحد نیستند.cisیون، بلکه از بسیاری از انتخابهای کوچک خودکار که هیچکس صراحتاً آنها را تأیید نکرده است. این از قبلcisچرا مدلهای اعتماد سنتی در توسعه نرمافزار مبتنی بر هوش مصنوعی شکست میخورند؟
هیچ یک از اینها به معنای کنار گذاشتن متنباز یا هوش مصنوعی نیست. برعکس، نقش محوری آنها را در مهندسی مدرن تصدیق میکند. اما بدون تکامل فرضیات امنیتی، سازمانها در معرض این خطر قرار میگیرند که اجازه دهند اتوماسیون به طور پیشفرض اعتماد را تعریف کند.
نتیجه گیری…
یک راه مفید برای فکر کردن در مورد این تغییر این است که software supply chain security دیگر فقط در مورد حفاظت از آثار باستانی نیست. این در مورد حفاظت از decisمسیرهای یونیدر دنیایی که به کمک هوش مصنوعی ساخته شده، مهمترین سوالات امنیتی نه تنها این هستند که «آیا این مؤلفه آسیبپذیر است؟»، بلکه «چرا این مؤلفه معرفی شده است، توسط چه کسی یا چه چیزی و تحت چه محدودیتهایی؟» سازمانهایی که خود را با این چارچوب وفق میدهند، خطر را از بین نمیبرند، اما از آن بسیار کمتر شگفتزده خواهند شد.
