AI ಭದ್ರತಾ ಅಪಾಯಗಳು: AI ವ್ಯವಸ್ಥೆಗಳನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸಲು DevSecOps ತಂಡಗಳು ತಿಳಿದುಕೊಳ್ಳಬೇಕಾದದ್ದು
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಇನ್ನು ಮುಂದೆ ಮಾದರಿ ನಡವಳಿಕೆ ಅಥವಾ ಡೇಟಾ ಗೌಪ್ಯತೆಗೆ ಸೀಮಿತವಾಗಿಲ್ಲ. ಇಂದು, ಅವು ಸಾಫ್ಟ್ವೇರ್ ಅನ್ನು ಬರೆಯುವ, ಪರಿಶೀಲಿಸುವ, ನಿರ್ಮಿಸುವ ಮತ್ತು ರವಾನಿಸುವ ವಿಧಾನದ ಮೇಲೂ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ. AI ಕೋಡಿಂಗ್ ಪರಿಕರಗಳು, ಏಜೆಂಟ್ AI ವ್ಯವಸ್ಥೆಗಳು ಮತ್ತು AI-ಚಾಲಿತ ಕೆಲಸದ ಹರಿವುಗಳು ಪ್ರವೇಶಿಸುತ್ತಿದ್ದಂತೆ SDLC, DevSecOps ತಂಡಗಳು ಹೊಸ ರೀತಿಯ ಅಪಾಯವನ್ನು ಎದುರಿಸುತ್ತವೆ: ವೇಗವಾದ ಕೋಡ್, ವೇಗವಾದ ಯಾಂತ್ರೀಕರಣ ಮತ್ತು ವೇಗವಾದ ತಪ್ಪುಗಳು.
ಆದಾಗ್ಯೂ, ತಂಡಗಳು AI ಅಳವಡಿಕೆಯನ್ನು ನಿಧಾನಗೊಳಿಸಬೇಕು ಎಂದು ಇದರ ಅರ್ಥವಲ್ಲ. ಬದಲಾಗಿ, ಅವರಿಗೆ AI-ನೆರವಿನ ಅಭಿವೃದ್ಧಿಯ ವೇಗಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುವ ಭದ್ರತಾ ನಿಯಂತ್ರಣಗಳು ಬೇಕಾಗುತ್ತವೆ. ಈ ಮಾರ್ಗದರ್ಶಿಯಲ್ಲಿ, ಪ್ರಮುಖ AI ಭದ್ರತಾ ಅಪಾಯಗಳು, ಅವು ನೈಜ ಎಂಜಿನಿಯರಿಂಗ್ ಕೆಲಸದ ಹರಿವುಗಳಲ್ಲಿ ಹೇಗೆ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ ಮತ್ತು ಕೋಡ್, ಅವಲಂಬನೆಗಳು, ರಹಸ್ಯಗಳು, pipelineಗಳು, ಮತ್ತು ಏಜೆಂಟರು.
AI ಬೆದರಿಕೆ ಭೂದೃಶ್ಯವನ್ನು ಹೇಗೆ ಬದಲಾಯಿಸುತ್ತದೆ ಎಂಬುದರ ವಿಶಾಲ ಅವಲೋಕನಕ್ಕಾಗಿ, ನಮ್ಮ ಮಾರ್ಗದರ್ಶಿಯನ್ನು ನೋಡಿ AI ಸೈಬರ್ ಭದ್ರತೆ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಯಾವುವು?
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯನ್ನು ವಿನ್ಯಾಸಗೊಳಿಸಿದಾಗ, ತರಬೇತಿ ನೀಡಿದಾಗ, ಸಂಯೋಜಿಸಿದಾಗ ಅಥವಾ ನೈಜ ವ್ಯವಸ್ಥೆಗಳ ಒಳಗೆ ಬಳಸಿದಾಗ ಕಾಣಿಸಿಕೊಳ್ಳುವ ದೌರ್ಬಲ್ಯಗಳು, ಬೆದರಿಕೆಗಳು ಅಥವಾ ವೈಫಲ್ಯ ವಿಧಾನಗಳಾಗಿವೆ. ಈ ಅಪಾಯಗಳು ಮಾದರಿಗಳು, ಡೇಟಾ, ಪ್ರಾಂಪ್ಟ್ಗಳು, API ಗಳು, ಕೋಡ್, ಮೇಲೆ ಪರಿಣಾಮ ಬೀರಬಹುದು. pipelineಗಳು, ಮತ್ತು ಅವುಗಳನ್ನು ಸಂಪರ್ಕಿಸುವ ಪರಿಕರಗಳು.
ನಮ್ಮ AI ಮತ್ತು ಸೈಬರ್ ಸುರಕ್ಷತೆಯ ಕುರಿತು NCSC ಮಾರ್ಗದರ್ಶನ ಸುರಕ್ಷಿತ ಮತ್ತು ವಿಶ್ವಾಸಾರ್ಹ AI ವ್ಯವಸ್ಥೆಗಳಿಗೆ ಸೈಬರ್ ಸುರಕ್ಷತೆಯು ಒಂದು ಪ್ರಮುಖ ಅವಶ್ಯಕತೆಯಾಗಿದೆ ಎಂದು ವಿವರಿಸುತ್ತದೆ. ಅದೇ ರೀತಿ, ದಿ NIST AI ಅಪಾಯ ನಿರ್ವಹಣಾ ಚೌಕಟ್ಟು ಆಡಳಿತ, ಮಾಪನ ಮತ್ತು ಪ್ರಾಯೋಗಿಕ ನಿಯಂತ್ರಣಗಳ ಮೂಲಕ AI ಅಪಾಯವನ್ನು ನಿರ್ವಹಿಸಲು ಸಂಸ್ಥೆಗಳಿಗೆ ಒಂದು ರಚನೆಯನ್ನು ನೀಡುತ್ತದೆ.
DevSecOps ತಂಡಗಳಿಗೆ, ಸಮಸ್ಯೆ ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟವಾಗಿದೆ. AI ಈಗ ಸಾಫ್ಟ್ವೇರ್ ವಿತರಣಾ ಸರಪಳಿಯ ಭಾಗವಾಗಿದೆ. ಇದು ಕೋಡ್ ಬರೆಯುತ್ತದೆ, ಅವಲಂಬನೆಗಳನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಸಂರಚನೆಯನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ, API ಗಳನ್ನು ಕರೆಯುತ್ತದೆ ಮತ್ತು ಕೆಲವೊಮ್ಮೆ ಸ್ವಾಯತ್ತವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ. ಪರಿಣಾಮವಾಗಿ, AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಒಳಗೆ ನಿರ್ವಹಿಸಬೇಕು SDLC, ಮಾದರಿ ಪದರದಲ್ಲಿ ಮಾತ್ರವಲ್ಲ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಈಗ ಏಕೆ ಭಿನ್ನವಾಗಿವೆ
ಸಾಂಪ್ರದಾಯಿಕ ಸೈಬರ್ ಭದ್ರತಾ ಅಪಾಯಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಮಾನವ-ಲಿಖಿತ ಕೋಡ್, ದುರ್ಬಲ ಪ್ಯಾಕೇಜ್ಗಳು, ದುರ್ಬಲ ರುಜುವಾತುಗಳು ಅಥವಾ ತಪ್ಪಾಗಿ ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾದ ಮೂಲಸೌಕರ್ಯದಿಂದ ಬರುತ್ತವೆ. ಆ ಅಪಾಯಗಳು ಇನ್ನೂ ಅಸ್ತಿತ್ವದಲ್ಲಿವೆ. ಆದಾಗ್ಯೂ, ಅವು ಎಷ್ಟು ಬೇಗನೆ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ ಮತ್ತು ಅವುಗಳನ್ನು ಪತ್ತೆಹಚ್ಚುವುದು ಎಷ್ಟು ಕಷ್ಟ ಎಂಬುದನ್ನು AI ಬದಲಾಯಿಸುತ್ತದೆ.
AI-ರಚಿತ ಕೋಡ್ ಸರಿಯಾಗಿ ಕಾಣಿಸಬಹುದು ಆದರೆ ದೃಢೀಕರಣ ಪರಿಶೀಲನೆಗಳನ್ನು ತಪ್ಪಿಸಬಹುದು. AI ಕೋಡಿಂಗ್ ಸಹಾಯಕ ದುರ್ಬಲ ಪ್ಯಾಕೇಜ್ ಅನ್ನು ಸೂಚಿಸಬಹುದು. ಏಜೆಂಟ್ ವರ್ಕ್ಫ್ಲೋ ತಪ್ಪು ಪರಿಕರವನ್ನು ಕರೆಯಬಹುದು, ತಪ್ಪು ಫೈಲ್ ಅನ್ನು ಪ್ರವೇಶಿಸಬಹುದು ಅಥವಾ ಲಾಗ್ನಲ್ಲಿ ರಹಸ್ಯವನ್ನು ಬಹಿರಂಗಪಡಿಸಬಹುದು. ಇದರ ಜೊತೆಗೆ, AI ವ್ಯವಸ್ಥೆಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಸಂದರ್ಭ, ಪ್ರಾಂಪ್ಟ್ಗಳು, ಕನೆಕ್ಟರ್ಗಳು ಮತ್ತು ಬಾಹ್ಯ ಪರಿಕರಗಳನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ, ಇದು ಭದ್ರತೆ ವಿಫಲಗೊಳ್ಳುವ ಹೆಚ್ಚಿನ ಸ್ಥಳಗಳನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.
ನಮ್ಮ LLM ಅರ್ಜಿಗಳಿಗೆ OWASP ಟಾಪ್ 10 ತ್ವರಿತ ಇಂಜೆಕ್ಷನ್, ಸೂಕ್ಷ್ಮ ಮಾಹಿತಿ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ, ಪೂರೈಕೆ ಸರಪಳಿ ಸಮಸ್ಯೆಗಳು ಮತ್ತು ಅತಿಯಾದ ಏಜೆನ್ಸಿಯಂತಹ ಅಪಾಯಗಳನ್ನು ಎತ್ತಿ ತೋರಿಸುತ್ತದೆ. ಈ ವರ್ಗಗಳು AI ನಡವಳಿಕೆಯನ್ನು ನೈಜ ಅಪ್ಲಿಕೇಶನ್ ಭದ್ರತಾ ಸಮಸ್ಯೆಗಳಿಗೆ ಸಂಪರ್ಕಿಸುವುದರಿಂದ ಉಪಯುಕ್ತವಾಗಿವೆ.
ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಹೇಳುವುದಾದರೆ, AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಮಾದರಿಗೆ ಮಾತ್ರ ಸಂಬಂಧಿಸಿಲ್ಲ. ಅವು ಮಾದರಿಯ ಸುತ್ತಲಿನ ಸಂಪೂರ್ಣ ವ್ಯವಸ್ಥೆಯ ಬಗ್ಗೆ.
DevSecOps ತಂಡಗಳಿಗೆ ಪ್ರಮುಖ AI ಭದ್ರತಾ ಅಪಾಯಗಳು
ಅಭಿವೃದ್ಧಿ, AppSec, ಮತ್ತು ಒಳಗೆ AI ಅನ್ನು ಬಳಸುವಾಗ ಹೆಚ್ಚು ಮುಖ್ಯವಾಗುವ ಅಪಾಯಗಳು ಕೆಳಗೆ ಇವೆ CI/CD ಕೆಲಸದ ಹರಿವುಗಳು.
1. AI- ರಚಿತ ಕೋಡ್ ದುರ್ಬಲತೆಗಳು
AI ಕೋಡಿಂಗ್ ಪರಿಕರಗಳು ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಆದರೆ ಸುರಕ್ಷಿತವಾಗಿರದ ಕೋಡ್ ಅನ್ನು ರಚಿಸಬಹುದು. ಉದಾಹರಣೆಗೆ, ಅವು ಸರಿಯಾದ ಪ್ಯಾರಾಮೀಟರ್ ಮಾಡುವಿಕೆ ಇಲ್ಲದೆ SQL ಪ್ರಶ್ನೆಗಳನ್ನು ರಚಿಸಬಹುದು, ಇನ್ಪುಟ್ ಮೌಲ್ಯೀಕರಣವನ್ನು ಬಿಟ್ಟುಬಿಡಬಹುದು ಅಥವಾ ದುರ್ಬಲ ದೃಢೀಕರಣ ತರ್ಕವನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದು.
ತರಬೇತಿ ದತ್ತಾಂಶವನ್ನು ಆಧರಿಸಿ ಅನೇಕ AI ವ್ಯವಸ್ಥೆಗಳು ಸಂಭವನೀಯ ಕೋಡ್ ಮಾದರಿಗಳನ್ನು ಉತ್ಪಾದಿಸುವುದರಿಂದ ಇದು ಸಂಭವಿಸುತ್ತದೆ. ಆದಾಗ್ಯೂ, ಸಂಭವನೀಯ ಕೋಡ್ ಯಾವಾಗಲೂ ಸುರಕ್ಷಿತ ಕೋಡ್ ಆಗಿರುವುದಿಲ್ಲ. ಪ್ರಾಯೋಗಿಕವಾಗಿ, ಮಾದರಿಯು ಅಸುರಕ್ಷಿತ ಉದಾಹರಣೆಗಳನ್ನು ಪುನರುತ್ಪಾದಿಸಬಹುದು ಏಕೆಂದರೆ ಅವು ಸಾರ್ವಜನಿಕ ರೆಪೊಸಿಟರಿಗಳಲ್ಲಿ ಸಾಮಾನ್ಯವಾಗಿದೆ.
ಸಾಮಾನ್ಯ ಉದಾಹರಣೆಗಳಲ್ಲಿ ಇವು ಸೇರಿವೆ:
- SQL ಇಂಜೆಕ್ಷನ್
- ಕ್ರಾಸ್-ಸೈಟ್ ಸ್ಕ್ರಿಪ್ಟಿಂಗ್
- ಕಾಣೆಯಾದ ದೃಢೀಕರಣ ಪರಿಶೀಲನೆಗಳು
- ದುರ್ಬಲ ಅಧಿವೇಶನ ನಿರ್ವಹಣೆ
- ಅಸುರಕ್ಷಿತ ಮರುಭೂಮಿ ಸಾಗಣೆ
- CSRF ರಕ್ಷಣೆ ಕಾಣೆಯಾಗಿದೆ
ಆದ್ದರಿಂದ, AI-ರಚಿತ ಕೋಡ್ ಹಾದುಹೋಗುವವರೆಗೆ ಅದನ್ನು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲ ಎಂದು ಪರಿಗಣಿಸಬೇಕು. SAST, ನೀತಿ ಪರಿಶೀಲನೆಗಳು ಮತ್ತು ವಿಮರ್ಶೆ.
ಆಂತರಿಕ ಲಿಂಕ್ ಸಲಹೆ: ಈ ವಿಭಾಗವನ್ನು ನಿಮ್ಮ ಪೋಸ್ಟ್ಗೆ ಸಂಪರ್ಕಪಡಿಸಿ AI SAST.
2. ಪೂರೈಕೆ ಸರಪಳಿ ಮತ್ತು ಅವಲಂಬನೆಯ ಅಪಾಯಗಳು
AI ಪರಿಕರಗಳು ಕೋಡ್ ಅನ್ನು ಮಾತ್ರ ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ. ಅವು ಪ್ಯಾಕೇಜ್ಗಳು, ಆವೃತ್ತಿಗಳು, ಸ್ಕ್ರಿಪ್ಟ್ಗಳು ಮತ್ತು ಅನುಸ್ಥಾಪನಾ ಆಜ್ಞೆಗಳನ್ನು ಸಹ ಸೂಚಿಸುತ್ತವೆ. ಇದು AI ಶಿಫಾರಸುಗಳಿಂದ ಸಾಫ್ಟ್ವೇರ್ ಪೂರೈಕೆ ಸರಪಳಿ ಅಪಾಯಕ್ಕೆ ನೇರ ಮಾರ್ಗವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ.
ಉದಾಹರಣೆಗೆ, ಒಂದು AI ಉಪಕರಣವು ಸೂಚಿಸಬಹುದು:
- ಹಳೆಯ ಪ್ಯಾಕೇಜ್
- ತಪ್ಪಾದ ಅವಲಂಬನೆ
- ಭ್ರಮೆಯ ಪ್ಯಾಕೇಜ್ ಹೆಸರು
- ಅನುಮಾನಾಸ್ಪದ ಅನುಸ್ಥಾಪನಾ ಸ್ಕ್ರಿಪ್ಟ್ಗಳನ್ನು ಹೊಂದಿರುವ ಪ್ಯಾಕೇಜ್
- ದುರ್ಬಲವಾಗಿದ್ದರೂ ಇನ್ನೂ ವ್ಯಾಪಕವಾಗಿ ಬಳಸಲಾಗುವ ಗ್ರಂಥಾಲಯ
ಇದಲ್ಲದೆ, ದಾಳಿಕೋರರು AI ಪರಿಕರಗಳು ಆವಿಷ್ಕರಿಸಬಹುದಾದ ಪ್ಯಾಕೇಜ್ ಹೆಸರುಗಳನ್ನು ನೋಂದಾಯಿಸುವ ಮೂಲಕ ಈ ನಡವಳಿಕೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳಬಹುದು. ಈ ಅಪಾಯವನ್ನು ಹೆಚ್ಚಾಗಿ ಸ್ಲಾಪ್ಸ್ಕ್ವಾಟಿಂಗ್ ಎಂದು ಕರೆಯಲಾಗುತ್ತದೆ. ಇದು ಮಾದರಿ ಭ್ರಮೆಯನ್ನು ಪ್ಯಾಕೇಜ್ ಪೂರೈಕೆ ಸರಪಳಿ ದಾಳಿಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.
ಈ ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಲು, ತಂಡಗಳಿಗೆ ಅಗತ್ಯವಿದೆ SCA, ಮಾಲ್ವೇರ್ ಪತ್ತೆ, ಅವಲಂಬನೆ ನೀತಿ ಜಾರಿ, ಮತ್ತು ತಲುಪುವಿಕೆ ವಿಶ್ಲೇಷಣೆ. ಅವರು ಶೋಷಣೆ ಸಂಕೇತಗಳನ್ನು ಸಹ ಬಳಸಬೇಕು ಉದಾಹರಣೆಗೆ ಇಪಿಎಸ್ಎಸ್ ಮತ್ತು ಸಕ್ರಿಯ ಶೋಷಣೆ ಗುಪ್ತಚರ CISತಿಳಿದಿರುವ ಶೋಷಣೆಗೊಳಗಾದ ದುರ್ಬಲತೆಗಳ ಕ್ಯಾಟಲಾಗ್.
3. AI ಕಾರ್ಯಪ್ರವಾಹಗಳಲ್ಲಿ ರಹಸ್ಯಗಳ ಮಾನ್ಯತೆ
ರಹಸ್ಯಗಳ ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯು ಅತ್ಯಂತ ಪ್ರಾಯೋಗಿಕ AI ಭದ್ರತಾ ಅಪಾಯಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ. ಡೆವಲಪರ್ಗಳು ಸಾಮಾನ್ಯವಾಗಿ AI ಪರಿಕರಗಳಲ್ಲಿ ಸಂದರ್ಭವನ್ನು ಅಂಟಿಸುತ್ತಾರೆ. ಆ ಸಂದರ್ಭವು API ಕೀಗಳು, ಟೋಕನ್ಗಳು, ರುಜುವಾತುಗಳು, URL ಗಳು ಅಥವಾ ಆಂತರಿಕ ಸಂರಚನೆಯನ್ನು ಒಳಗೊಂಡಿರಬಹುದು.
ಇದರ ಜೊತೆಗೆ, AI-ರಚಿತ ಕೋಡ್ ನೈಜವಾಗಿ ಕಾಣುವ ಅಥವಾ ಕೆಟ್ಟದಾಗಿ ಕಾಣುವ ಪ್ಲೇಸ್ಹೋಲ್ಡರ್ಗಳನ್ನು ಒಳಗೊಂಡಿರಬಹುದು, ರಹಸ್ಯಗಳನ್ನು ಮೂಲ ಫೈಲ್ಗಳಿಗೆ ನಕಲಿಸಬಹುದು, pipeline ಸ್ಕ್ರಿಪ್ಟ್ಗಳು ಅಥವಾ ಲಾಗ್ಗಳು. ರಹಸ್ಯಗಳು Git ಇತಿಹಾಸವನ್ನು ಪ್ರವೇಶಿಸಿದ ನಂತರ ಅಥವಾ CI/CD ಲಾಗ್ಗಳು, ಮೂಲ ನಂತರವೂ ಅವು ದೀರ್ಘಕಾಲದವರೆಗೆ ಶೋಷಣೆಗೆ ಒಳಗಾಗಬಹುದು commit.
ಸಾಮಾನ್ಯ ಮಾನ್ಯತೆ ಬಿಂದುಗಳು ಸೇರಿವೆ:
- ಪ್ರಾಂಪ್ಟ್ ಇತಿಹಾಸ
- ರಚಿಸಲಾದ ಕೋಡ್
- ಹೋಗಿ commits
- CI/CD ದಾಖಲೆಗಳು
- IaC ಕಡತಗಳನ್ನು
- ಕಂಟೇನರ್ ಚಿತ್ರಗಳು
- ಹಂಚಿಕೊಂಡ ಕಾರ್ಯಸ್ಥಳಗಳು
ಈ ಕಾರಣಕ್ಕಾಗಿ, ತಂಡಗಳು IDE-ಮಟ್ಟದ ಸ್ಕ್ಯಾನಿಂಗ್ ಅನ್ನು ಸಂಯೋಜಿಸಬೇಕು, pre-commit ಪರಿಶೀಲನೆಗಳು, ಭಂಡಾರ ಇತಿಹಾಸ ಸ್ಕ್ಯಾನ್ಗಳು, CI/CD ಲಾಗ್ ಸ್ಕ್ಯಾನಿಂಗ್ ಮತ್ತು ಸ್ವಯಂಚಾಲಿತ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವಿಕೆ.
ಆಂತರಿಕ ಲಿಂಕ್ ಸಲಹೆ: ಈ ವಿಭಾಗವನ್ನು ನಿಮ್ಮ ರಹಸ್ಯ ಭದ್ರತಾ ಉತ್ಪನ್ನ ಅಥವಾ ಸಂಬಂಧಿತ ವಿಷಯಕ್ಕೆ ಸಂಪರ್ಕಪಡಿಸಿ.
4. AI ಏಜೆಂಟ್ ಮತ್ತು ಉಪಕರಣ ದುರುಪಯೋಗ
ಏಜೆಂಟ್ AI ಏಜೆಂಟರು ಕೇವಲ ಕ್ರಮಗಳನ್ನು ಸೂಚಿಸುವುದಿಲ್ಲವಾದ್ದರಿಂದ, ಅಪಾಯದ ಹೊಸ ಪದರವನ್ನು ಪರಿಚಯಿಸುತ್ತದೆ. ಅವರು ಕ್ರಮಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳಬಹುದು.
ಒಬ್ಬ AI ಏಜೆಂಟ್ ಶೆಲ್ ಆಜ್ಞೆಗಳನ್ನು ಚಲಾಯಿಸಬಹುದು, ಫೈಲ್ಗಳನ್ನು ಸಂಪಾದಿಸಬಹುದು, API ಗಳನ್ನು ಕರೆಯಬಹುದು, ತೆರೆಯಬಹುದು pull requests, CI ಕಾರ್ಯಪ್ರವಾಹಗಳನ್ನು ಮಾರ್ಪಡಿಸಿ, ಅಥವಾ ಕ್ಲೌಡ್ ಸೇವೆಗಳೊಂದಿಗೆ ಸಂವಹನ ನಡೆಸಿ. ಇದು ದೊಡ್ಡ ಉತ್ಪಾದಕತೆಯ ಲಾಭವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆಯಾದರೂ, ಇದು ತಪ್ಪುಗಳ ಬ್ಲಾಸ್ಟ್ ತ್ರಿಜ್ಯವನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ.
ಪ್ರಮುಖ ಅಪಾಯಗಳು ಸೇರಿವೆ:
- ಅಸುರಕ್ಷಿತ ಶೆಲ್ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ
- ಅತಿಯಾಗಿ ಅನುಮತಿಸಲಾದ API ಕೀಗಳು
- ಅನಧಿಕೃತ ಕೋಡ್ ಬದಲಾವಣೆಗಳು
- MCP ಅಥವಾ API ಕನೆಕ್ಟರ್ ತಪ್ಪು ಕಾನ್ಫಿಗರೇಶನ್
- ಅನುಮೋದಿತ ವ್ಯಾಪ್ತಿಯ ಹೊರಗೆ ಉಪಕರಣ ಕರೆಗಳು
- ಕಾರ್ಯಕ್ಕೆ ಅಗತ್ಯವಿರುವುದಕ್ಕಿಂತ ಹೆಚ್ಚಿನ ಪರಿಸರ ಪ್ರವೇಶ
ಅತಿಯಾದ ಏಜೆನ್ಸಿಗಾಗಿ OWASP LLM ಟಾಪ್ 10 ವರ್ಗವು ಇಲ್ಲಿ ವಿಶೇಷವಾಗಿ ಪ್ರಸ್ತುತವಾಗಿದೆ. ಏಜೆಂಟ್ಗೆ ಹೆಚ್ಚಿನ ಪ್ರವೇಶವಿದ್ದರೆ, ಕೆಟ್ಟ ಸೂಚನೆ, ತ್ವರಿತ ಇಂಜೆಕ್ಷನ್ ಅಥವಾ ರಾಜಿ ಮಾಡಿಕೊಂಡ ಉಪಕರಣವು ನಿಜವಾದ ಭದ್ರತಾ ಘಟನೆಯಾಗಿ ಬದಲಾಗಬಹುದು.
5. CI/CD ಮತ್ತು Pipeline ಅಪಾಯಗಳು
AI-ರಚಿತ ಕೋಡ್ ಅಂತಿಮವಾಗಿ ತಲುಪುತ್ತದೆ pipelineಆ ಹಂತದಲ್ಲಿ, ಅಪಾಯವು ಮೂಲ ಕೋಡ್ನಿಂದ ನಿರ್ಮಾಣಗಳು, ಕಲಾಕೃತಿಗಳು, ರಹಸ್ಯಗಳು, ಅವಲಂಬನೆಗಳು ಮತ್ತು ನಿಯೋಜನೆ ಕಾರ್ಯಪ್ರವಾಹಗಳಿಗೆ ಚಲಿಸುತ್ತದೆ.
ಉದಾಹರಣೆಗೆ, AI-ನೆರವಿನ ಬದಲಾವಣೆಯು ಹೀಗಿರಬಹುದು:
- ಅಸುರಕ್ಷಿತ ನಿರ್ಮಾಣ ಹಂತವನ್ನು ಸೇರಿಸಿ
- GitHub ಕ್ರಿಯೆಗಳ ಕೆಲಸದ ಹರಿವನ್ನು ಮಾರ್ಪಡಿಸಿ
- ಅನುಸ್ಥಾಪನೆಯ ಸಮಯದಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್ ಅನ್ನು ಎಳೆಯಿರಿ
- ನಿರ್ಮಾಣ ದಾಖಲೆಗಳಲ್ಲಿ ರಹಸ್ಯಗಳನ್ನು ಮುದ್ರಿಸಿ
- ಭದ್ರತಾ ನಿಯಂತ್ರಣವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ
- ನಿಯೋಜನೆ ತರ್ಕವನ್ನು ಬದಲಾಯಿಸಿ
ಪರಿಣಾಮವಾಗಿ, CI/CD AI ಅಳವಡಿಕೆಗೆ ಭದ್ರತೆ ಅತ್ಯಗತ್ಯವಾಗುತ್ತಿದೆ. Pipeline guardrails ಅಸುರಕ್ಷಿತ ಮಾದರಿಗಳು ಉತ್ಪಾದನೆಯನ್ನು ತಲುಪುವ ಮೊದಲು ಅವುಗಳನ್ನು ನಿರ್ಬಂಧಿಸಬೇಕು. ಆಳವಾದ ಸಂದರ್ಭಕ್ಕಾಗಿ, ನಮ್ಮ ವಿಷಯವನ್ನು ನೋಡಿ CI/CD ಭದ್ರತಾ ಮತ್ತು software supply chain security.
6. ಡೇಟಾ ಸೋರಿಕೆ ಮತ್ತು ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್
ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್ ಅತ್ಯಂತ ಪ್ರಸಿದ್ಧವಾದ AI ಭದ್ರತಾ ಅಪಾಯಗಳಲ್ಲಿ ಒಂದಾಗಿದೆ, ಆದರೆ ಇದನ್ನು ಹೆಚ್ಚಾಗಿ ತಪ್ಪಾಗಿ ಅರ್ಥೈಸಲಾಗುತ್ತದೆ. ಇದು ಕೇವಲ ಚಾಟ್ಬಾಟ್ ಸಮಸ್ಯೆಯಲ್ಲ. ಬಾಹ್ಯ ಇನ್ಪುಟ್ ಅನ್ನು ಸ್ವೀಕರಿಸುವ ಮತ್ತು ನಂತರ ಆ ಇನ್ಪುಟ್ ಅನ್ನು ಕ್ರಿಯೆಗಳಿಗೆ ಮಾರ್ಗದರ್ಶನ ನೀಡಲು ಬಳಸುವ ಯಾವುದೇ AI ವರ್ಕ್ಫ್ಲೋ ಮೇಲೆ ಇದು ಪರಿಣಾಮ ಬೀರಬಹುದು.
ಉದಾಹರಣೆಗೆ, ದುರುದ್ದೇಶಪೂರಿತ ಸಮಸ್ಯೆ ವಿವರಣೆ, README ಫೈಲ್, ಬೆಂಬಲ ಟಿಕೆಟ್ ಅಥವಾ ಅವಲಂಬನೆ ದಸ್ತಾವೇಜೀಕರಣ ಪುಟವು ಗುಪ್ತ ಸೂಚನೆಗಳನ್ನು ಒಳಗೊಂಡಿರಬಹುದು. AI ಏಜೆಂಟ್ ಆ ವಿಷಯವನ್ನು ಓದಿ ಅದನ್ನು ಅನುಸರಿಸಿದರೆ, ಆಕ್ರಮಣಕಾರರು ಪರಿಕರ ಕರೆಗಳು, ಕೋಡ್ ಬದಲಾವಣೆಗಳು ಅಥವಾ ಡೇಟಾ ಪ್ರವೇಶದ ಮೇಲೆ ಪ್ರಭಾವ ಬೀರಬಹುದು.
ಡೇಟಾ ಸೋರಿಕೆ ಇದೇ ರೀತಿ ಸಂಭವಿಸಬಹುದು. ಮಾದರಿಯು ಸೂಕ್ಷ್ಮ ಸಂದರ್ಭವನ್ನು ಬಹಿರಂಗಪಡಿಸಬಹುದು, ಖಾಸಗಿ ಫೈಲ್ಗಳನ್ನು ಸಂಕ್ಷೇಪಿಸಬಹುದು ಅಥವಾ ಗೌಪ್ಯ ಡೇಟಾವನ್ನು ಬಾಹ್ಯ ಸೇವೆಗಳಿಗೆ ಕಳುಹಿಸಬಹುದು. ಆದ್ದರಿಂದ, AI ವ್ಯವಸ್ಥೆಗಳಿಗೆ ತ್ವರಿತ ಫಿಲ್ಟರಿಂಗ್, ಔಟ್ಪುಟ್ ನಿಯಂತ್ರಣಗಳು, ಪರಿಕರ ನಿರ್ಬಂಧಗಳು ಮತ್ತು ಅವರು ಯಾವ ಡೇಟಾವನ್ನು ಪ್ರವೇಶಿಸಬಹುದು ಎಂಬುದರ ಬಗ್ಗೆ ಸ್ಪಷ್ಟವಾದ ಗಡಿಗಳು ಬೇಕಾಗುತ್ತವೆ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳು SDLC
ಸಾಫ್ಟ್ವೇರ್ ಜೀವನಚಕ್ರದ ವಿವಿಧ ಹಂತಗಳಲ್ಲಿ AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತವೆ. ಅಂತಿಮ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಮಾತ್ರವಲ್ಲದೆ ಪ್ರತಿಯೊಂದು ಹಂತವನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುವುದು ಮುಖ್ಯ.
| SDLC ಹಂತ | AI ಭದ್ರತಾ ಅಪಾಯ | ಉದಾಹರಣೆ | ಶಿಫಾರಸು ಮಾಡಲಾದ ನಿಯಂತ್ರಣ |
|---|---|---|---|
| ಇಲ್ಲಿ | ಅಸುರಕ್ಷಿತ AI- ರಚಿತ ಕೋಡ್ | AI ಕೋಡಿಂಗ್ ಸಹಾಯಕ ಅಸುರಕ್ಷಿತ ದೃಢೀಕರಣ ತರ್ಕವನ್ನು ಸೂಚಿಸುತ್ತದೆ. | ನೈಜ ಸಮಯ SAST ಮತ್ತು ಸುರಕ್ಷಿತ ಕೋಡಿಂಗ್ ಪ್ರತಿಕ್ರಿಯೆ. |
| Commit | ರಹಸ್ಯಗಳನ್ನು ಬಹಿರಂಗಪಡಿಸುವುದು | ರಚಿಸಿದ ಕೋಡ್ನಲ್ಲಿ ಟೋಕನ್ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ ಅಥವಾ commit ಇತಿಹಾಸ. | ರಹಸ್ಯಗಳ ಪತ್ತೆ, pre-commit ಪರಿಶೀಲನೆಗಳು ಮತ್ತು ಸ್ವಯಂ-ರದ್ದತಿ. |
| Pull Request | ನೀತಿ ಬೈಪಾಸ್ | ರಚಿಸಲಾದ ಕೋಡ್ ಪರಿಶೀಲನೆಯಿಲ್ಲದೆ ಪ್ರವೇಶ ನಿಯಂತ್ರಣ ನಿಯಮಗಳನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. | PR guardrails ಮತ್ತು ನೀತಿ ಜಾರಿ. |
| ನಿರ್ಮಿಸಲು | ದುರುದ್ದೇಶಪೂರಿತ ಅವಲಂಬನೆ | AI-ಸೂಚಿಸಿದ ಪ್ಯಾಕೇಜ್ ಅನುಮಾನಾಸ್ಪದ ಅನುಸ್ಥಾಪನಾ ನಡವಳಿಕೆಯನ್ನು ಒಳಗೊಂಡಿದೆ. | SCA, ಮಾಲ್ವೇರ್ ಪತ್ತೆ ಮತ್ತು ಅವಲಂಬನೆ ನೀತಿ ಪರಿಶೀಲನೆಗಳು. |
| CI/CD | Pipeline ಕುಶಲತೆ | ಏಜೆಂಟ್ ವರ್ಕ್ಫ್ಲೋ ಫೈಲ್ಗಳು ಅಥವಾ ನಿಯೋಜನಾ ಸ್ಕ್ರಿಪ್ಟ್ಗಳನ್ನು ಮಾರ್ಪಡಿಸುತ್ತಾರೆ. | CI/CD ಭದ್ರತಾ ತಪಾಸಣೆ ಮತ್ತು ಅಸಂಗತತೆ ಪತ್ತೆ. |
| ಚಾಲನಾಸಮಯ | ತ್ವರಿತ ಇಂಜೆಕ್ಷನ್ ಅಥವಾ ಡೇಟಾ ಸೋರಿಕೆ | ಬಾಹ್ಯ ಇನ್ಪುಟ್ AI ಕೆಲಸದ ಹರಿವು ಸೂಕ್ಷ್ಮ ಸಂದರ್ಭವನ್ನು ಬಹಿರಂಗಪಡಿಸಲು ಕಾರಣವಾಗುತ್ತದೆ. | ತ್ವರಿತ ನಿಯಂತ್ರಣಗಳು, ಪ್ರವೇಶ ನಿರ್ಬಂಧಗಳು ಮತ್ತು ಮೇಲ್ವಿಚಾರಣೆ. |
AI ಭದ್ರತಾ ಅಪಾಯಗಳು vs ಸಾಂಪ್ರದಾಯಿಕ ಸೈಬರ್ ಭದ್ರತಾ ಅಪಾಯಗಳು
ಸಾಂಪ್ರದಾಯಿಕ ಸೈಬರ್ ಭದ್ರತೆ ಇನ್ನೂ ಮುಖ್ಯವಾಗಿದೆ. ಆದಾಗ್ಯೂ, AI ವಿಭಿನ್ನ ನಿಯಂತ್ರಣಗಳ ಅಗತ್ಯವಿರುವ ಹೊಸ ನಡವಳಿಕೆಯ ಮಾದರಿಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ.
| ಪ್ರದೇಶ | ಸಾಂಪ್ರದಾಯಿಕ ಸೈಬರ್ ಸುರಕ್ಷತೆಯ ಅಪಾಯ | AI ಭದ್ರತಾ ಅಪಾಯ |
|---|---|---|
| ಕೋಡ್ | ಮಾನವ-ಲಿಖಿತ ದುರ್ಬಲತೆಗಳು. | ಹೆಚ್ಚಿನ ವೇಗದಲ್ಲಿ AI- ರಚಿತವಾದ ಅಸುರಕ್ಷಿತ ಮಾದರಿಗಳು. |
| ಅವಲಂಬನೆಗಳು | ತಿಳಿದಿರುವ ದುರ್ಬಲ ಪ್ಯಾಕೇಜ್ಗಳು. | ಭ್ರಮೆಗೊಂಡ, ದುರುದ್ದೇಶಪೂರಿತ ಅಥವಾ ಅಸುರಕ್ಷಿತ AI-ಸೂಚಿಸಿದ ಪ್ಯಾಕೇಜ್ಗಳು. |
| ಸೀಕ್ರೆಟ್ಸ್ | ಆಕಸ್ಮಿಕವಾಗಿ ರುಜುವಾತುಗಳು commitಡೆವಲಪರ್ಗಳಿಂದ ಟೆಡ್ ಮಾಡಲಾಗಿದೆ. | ಪ್ರಾಂಪ್ಟ್ಗಳು, ರಚಿಸಿದ ಕೋಡ್ ಅಥವಾ ಲಾಗ್ಗಳಿಗೆ ರಹಸ್ಯಗಳನ್ನು ನಕಲಿಸಲಾಗಿದೆ. |
| ಪರಿಕರಗಳು | ಡೆವಲಪರ್ ಪರಿಕರಗಳ ಹಸ್ತಚಾಲಿತ ದುರುಪಯೋಗ. | ಪರಿಕರಗಳು ಅಥವಾ API ಗಳನ್ನು ದುರುಪಯೋಗಪಡಿಸಿಕೊಳ್ಳುವ ಸ್ವಾಯತ್ತ ಏಜೆಂಟ್ಗಳು. |
| Pipelines | ತಪ್ಪಾಗಿ ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾಗಿದೆ CI/CD ಕೆಲಸದ ಹರಿವುಗಳು. | ಏಜೆಂಟ್-ರಚಿತ ಕೆಲಸದ ಹರಿವಿನ ಬದಲಾವಣೆಗಳು ಅಥವಾ ಅಸುರಕ್ಷಿತ ಯಾಂತ್ರೀಕರಣ. |
ನೈಜ-ಪ್ರಪಂಚದ AI ಭದ್ರತಾ ಅಪಾಯದ ಉದಾಹರಣೆಗಳು
AI ಭದ್ರತಾ ಅಪಾಯವು ಸೈದ್ಧಾಂತಿಕವಲ್ಲ. ಹಲವಾರು ಸಾರ್ವಜನಿಕ ಚೌಕಟ್ಟುಗಳು ಮತ್ತು ಸಂಶೋಧನಾ ಪ್ರಯತ್ನಗಳು ಈಗ ಈ ಸಮಸ್ಯೆಗಳನ್ನು ಹೆಚ್ಚು ಔಪಚಾರಿಕವಾಗಿ ಟ್ರ್ಯಾಕ್ ಮಾಡುತ್ತವೆ.
ನಮ್ಮ MIT AI ಅಪಾಯ ಭಂಡಾರ ವಿವಿಧ ಕಾರಣಗಳು ಮತ್ತು ಡೊಮೇನ್ಗಳಲ್ಲಿ 1,700 ಕ್ಕೂ ಹೆಚ್ಚು AI ಅಪಾಯಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ಏತನ್ಮಧ್ಯೆ, OWASP LLM ಅಪ್ಲಿಕೇಶನ್ ಅಪಾಯಗಳಿಗೆ ಪ್ರಾಯೋಗಿಕ ವರ್ಗಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ, ಇದರಲ್ಲಿ ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್, ಸೂಕ್ಷ್ಮ ಮಾಹಿತಿ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ, ಪೂರೈಕೆ ಸರಪಳಿ ದುರ್ಬಲತೆಗಳು ಮತ್ತು ಅತಿಯಾದ ಏಜೆನ್ಸಿ ಸೇರಿವೆ.
DevSecOps ತಂಡಗಳಿಗೆ, ಸಾಫ್ಟ್ವೇರ್ ವಿತರಣೆಯಲ್ಲಿ ಹೆಚ್ಚಾಗಿ ಕಂಡುಬರುವ ಅತ್ಯಂತ ಪ್ರಸ್ತುತ ಉದಾಹರಣೆಗಳು:
- ದುರ್ಬಲ ಸಂಕೇತವನ್ನು ಸೂಚಿಸುವ AI ಪರಿಕರಗಳು
- AI ಏಜೆಂಟ್ಗಳು ವರ್ಕ್ಫ್ಲೋ ಫೈಲ್ಗಳನ್ನು ಮಾರ್ಪಡಿಸುತ್ತಿದ್ದಾರೆ
- ಪೂರೈಕೆ ಸರಪಳಿ ಮಾನ್ಯತೆಯನ್ನು ಪರಿಚಯಿಸುವ AI- ರಚಿತ ಅವಲಂಬನೆಗಳು
- ಪ್ರಾಂಪ್ಟ್ಗಳು, ಲಾಗ್ಗಳು ಅಥವಾ ಮೂಲಕ ಸೋರಿಕೆಯಾಗುವ ರಹಸ್ಯಗಳು commits
- ಅನುಮೋದಿತ ವ್ಯಾಪ್ತಿಯ ಹೊರಗಿನ ಪರಿಕರಗಳನ್ನು ಕರೆಯುವ ಏಜೆಂಟ್ ಕಾರ್ಯಪ್ರವಾಹಗಳು
ಸಂಕ್ಷಿಪ್ತವಾಗಿ ಹೇಳುವುದಾದರೆ, AI ವ್ಯವಸ್ಥೆಗಳು ಕೋಡ್, ರುಜುವಾತುಗಳು, ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ಸ್ಪರ್ಶಿಸಿದಾಗ AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಹೆಚ್ಚು ಗಂಭೀರವಾಗುತ್ತವೆ, pipelineಗಳು, ಅಥವಾ ಮೂಲಸೌಕರ್ಯ.
ಪ್ರಾಯೋಗಿಕವಾಗಿ AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಹೇಗೆ ತಗ್ಗಿಸುವುದು
AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಉತ್ತಮ ಮಾರ್ಗವೆಂದರೆ AI ನೆರವಿನ ಅಭಿವೃದ್ಧಿಯನ್ನು ಒಂದು ಭಾಗವಾಗಿ ಪರಿಗಣಿಸುವುದು SDLC. ಅಂದರೆ ಮೊದಲೇ ಸ್ಕ್ಯಾನ್ ಮಾಡುವುದು, ಆಗಾಗ್ಗೆ ಮೌಲ್ಯೀಕರಿಸುವುದು ಮತ್ತು ಡೆವಲಪರ್ಗಳು ನಿಜವಾಗಿಯೂ ಕೆಲಸ ಮಾಡುವ ನೀತಿಗಳನ್ನು ಜಾರಿಗೊಳಿಸುವುದು.
1. IDE ನಲ್ಲಿ AI- ರಚಿತ ಕೋಡ್ ಅನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡಿ
ಡೆವಲಪರ್ಗಳು AI-ರಚಿತ ಕೋಡ್ ಬರೆಯುವಾಗ ಅಥವಾ ಸ್ವೀಕರಿಸುವಾಗ ಭದ್ರತಾ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ನೋಡಬೇಕು. ಇದು ಸಂದರ್ಭ ಬದಲಾವಣೆಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ ಮತ್ತು Git ಅನ್ನು ತಲುಪುವ ಮೊದಲು ಸಮಸ್ಯೆಗಳನ್ನು ಸರಿಪಡಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ.
ಬಳಸಿ:
- SAST IDE ನಲ್ಲಿ
- ಇನ್ಲೈನ್ ದುರ್ಬಲತೆಯ ವಿವರಣೆಗಳು
- ಸುರಕ್ಷಿತ ಪರಿಹಾರ ಸಲಹೆಗಳು
- ನೀತಿ-ಅರಿವಿನ ಪರಿಹಾರ
ಇದು AI ಕೋಡಿಂಗ್ ಸಹಾಯಕರಿಗೆ ವಿಶೇಷವಾಗಿ ಮುಖ್ಯವಾಗಿದೆ, ಅಲ್ಲಿ ಅಸುರಕ್ಷಿತ ಸಲಹೆಗಳು ಕೋಡ್ಬೇಸ್ ಅನ್ನು ತ್ವರಿತವಾಗಿ ಪ್ರವೇಶಿಸಬಹುದು.
2. ನಿರ್ಮಿಸುವ ಮೊದಲು ಅವಲಂಬನೆಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸಿ
AI-ಸೂಚಿಸಿದ ಅವಲಂಬನೆಗಳನ್ನು ಸ್ಥಾಪಿಸುವ ಅಥವಾ ಸಾಗಿಸುವ ಮೊದಲು ಪರಿಶೀಲಿಸಬೇಕು. ಆದ್ದರಿಂದ, ತಂಡಗಳು ಅಭಿವೃದ್ಧಿಯ ಸಮಯದಲ್ಲಿ ಅವಲಂಬನೆ ನಿಯಂತ್ರಣಗಳನ್ನು ಜಾರಿಗೊಳಿಸಬೇಕು ಮತ್ತು CI/CD.
ಬಳಸಿ:
- SCA
- ಮಾಲ್ವೇರ್ ಪತ್ತೆ
- ಟೈಪೋಸ್ಕ್ವಾಟಿಂಗ್ ಪತ್ತೆ
- ಇಪಿಎಸ್ಎಸ್ ಸ್ಕೋರಿಂಗ್
- ತಲುಪುವಿಕೆ ವಿಶ್ಲೇಷಣೆ
- ನೀತಿ ಆಧಾರಿತ ನಿರ್ಬಂಧಿಸುವಿಕೆ
ಇದು ಕೇವಲ ಸೈದ್ಧಾಂತಿಕ ಅಪಾಯವನ್ನು ಪ್ರತಿನಿಧಿಸುವ ಪ್ಯಾಕೇಜ್ಗಳಿಗೆ ಆದ್ಯತೆ ನೀಡಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ, ಆದರೆ ನಿಜವಾದ ಅಪಾಯವನ್ನು ಪ್ರತಿನಿಧಿಸುವ ಪ್ಯಾಕೇಜ್ಗಳಿಗೆ ಆದ್ಯತೆ ನೀಡುತ್ತದೆ.
3. ರಹಸ್ಯಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಪತ್ತೆ ಮಾಡಿ ಮತ್ತು ಹಿಂತೆಗೆದುಕೊಳ್ಳಿ
ಸೀಕ್ರೆಟ್ಸ್ ಸ್ಕ್ಯಾನಿಂಗ್ ಮೂಲ ಕೋಡ್ಗಿಂತ ಹೆಚ್ಚಿನದನ್ನು ಒಳಗೊಂಡಿರಬೇಕು. AI-ನೆರವಿನ ಕೆಲಸದ ಹರಿವುಗಳು ಹಲವು ಸ್ಥಳಗಳಲ್ಲಿ ರುಜುವಾತುಗಳನ್ನು ಬಹಿರಂಗಪಡಿಸಬಹುದು.
ಬಳಸಿ:
- Pre-commit ಸ್ಕ್ಯಾನಿಂಗ್
- ರೆಪೊಸಿಟರಿ ಇತಿಹಾಸ ಸ್ಕ್ಯಾನಿಂಗ್
- Pipeline ಲಾಗ್ ಸ್ಕ್ಯಾನಿಂಗ್
- IaC ಸ್ಕ್ಯಾನಿಂಗ್
- ಕಂಟೇನರ್ ಇಮೇಜ್ ಸ್ಕ್ಯಾನಿಂಗ್
- ಸ್ವಯಂಚಾಲಿತ ಹಿಂತೆಗೆದುಕೊಳ್ಳುವಿಕೆ
ಪರಿಣಾಮವಾಗಿ, ತಂಡಗಳು ಒಡ್ಡಿಕೊಳ್ಳುವಿಕೆ ಮತ್ತು ನಿಯಂತ್ರಣದ ನಡುವಿನ ಸಮಯವನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತವೆ.
4. ಜಾರಿಗೊಳಿಸಿ Guardrails in CI/CD
Guardrails ಬದಲಾವಣೆಯು ಮುಂದುವರಿಯಲು ಸಾಕಷ್ಟು ಸುರಕ್ಷಿತವಾಗಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸಬೇಕು. ವರದಿ ಮಾಡುವುದು ಉಪಯುಕ್ತವಾಗಿದೆ, ಆದರೆ ನಿರ್ಣಾಯಕ ಅಪಾಯಕ್ಕೆ ನಿರ್ಬಂಧಿಸುವುದು ಅವಶ್ಯಕ.
Guardrails ಕವರ್ ಮಾಡಬೇಕು:
- ಹೊಸ ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಗಳು
- ಸೀಕ್ರೆಟ್ಸ್
- ದುರುದ್ದೇಶಪೂರಿತ ಅವಲಂಬನೆಗಳು
- ಪಿನ್ ಮಾಡದ ಅಥವಾ ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲದ ಪ್ಯಾಕೇಜ್ಗಳು
- ಅಸುರಕ್ಷಿತ ಕೆಲಸದ ಹರಿವಿನ ಬದಲಾವಣೆಗಳು
- ಮಿಸ್ಸಿಂಗ್ SBOMs
- ನೀತಿ ಉಲ್ಲಂಘನೆ
ಇದರ ಜೊತೆಗೆ, ಅಗತ್ಯವಿದ್ದಾಗ ತಂಡಗಳು ವರದಿ-ಮಾತ್ರ ಮೋಡ್ನೊಂದಿಗೆ ಪ್ರಾರಂಭಿಸಬೇಕು, ನಂತರ ಆತ್ಮವಿಶ್ವಾಸ ಬೆಳೆದಂತೆ ನಿರ್ಬಂಧಿಸುವತ್ತ ಸಾಗಬೇಕು.
5. ಏಜೆಂಟ್ ಟೂಲ್ ನಡವಳಿಕೆಯನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಿ
ಏಜೆಂಟ್ AI ವ್ಯವಸ್ಥೆಗಳಿಗೆ ವೀಕ್ಷಣೆಯ ಅಗತ್ಯವಿದೆ. ಏಜೆಂಟ್ ಫೈಲ್ಗಳನ್ನು ಸಂಪಾದಿಸಲು, ಬಿಲ್ಡ್ಗಳನ್ನು ಪ್ರಚೋದಿಸಲು ಅಥವಾ API ಗಳನ್ನು ಕರೆಯಲು ಸಾಧ್ಯವಾದರೆ, ತಂಡಗಳು ಅದು ಏನು ಮಾಡಿದೆ, ಯಾವಾಗ ಮಾಡಿದೆ ಮತ್ತು ಕ್ರಿಯೆಯನ್ನು ನಿರೀಕ್ಷಿಸಲಾಗಿದೆಯೇ ಎಂದು ತಿಳಿದುಕೊಳ್ಳಬೇಕು.
ಮಾನಿಟರ್:
- ಪರಿಕರ ಕರೆಗಳು
- ವರ್ಕ್ಫ್ಲೋ ಫೈಲ್ ಬದಲಾವಣೆಗಳು
- ಸಂಗ್ರಹಣಾ ಬರೆಯುವ ಚಟುವಟಿಕೆ
- ನೆಟ್ವರ್ಕ್ ಗಮ್ಯಸ್ಥಾನಗಳು
- ರಹಸ್ಯ ಪ್ರವೇಶ
- Pull request ಸೃಷ್ಟಿ
- Pipeline ಪ್ರಚೋದಿಸುತ್ತದೆ
ಈ ಗೋಚರತೆ ಇಲ್ಲದೆ, ಏಜೆಂಟ್ ಸ್ವಾಯತ್ತತೆಯನ್ನು ನಂಬುವುದು ಕಷ್ಟವಾಗುತ್ತದೆ.
ಕ್ಸಿಜೆನಿ AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಸಹಾಯ ಮಾಡುವ ಸ್ಥಳ
ಕ್ಸಿಜೆನಿ ಸಂಪೂರ್ಣ ಸಾಫ್ಟ್ವೇರ್ ವಿತರಣಾ ಸರಪಳಿಯಲ್ಲಿ AI-ನೆರವಿನ ಅಭಿವೃದ್ಧಿಯನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸುವತ್ತ ಗಮನಹರಿಸುತ್ತದೆ. AI ಅಪಾಯವನ್ನು ಪ್ರತ್ಯೇಕ ವರ್ಗವಾಗಿ ಪರಿಗಣಿಸುವ ಬದಲು, ಇದು ಕೋಡ್, ಅವಲಂಬನೆಗಳು, ರಹಸ್ಯಗಳನ್ನು ಸಂಪರ್ಕಿಸುತ್ತದೆ, pipelineಮತ್ತು ವ್ಯವಹಾರ ಸಂದರ್ಭ.
ಉದಾಹರಣೆಗೆ:
- SAST ಅಸುರಕ್ಷಿತ AI- ರಚಿತ ಕೋಡ್ ಅನ್ನು ಮೊದಲೇ ಪತ್ತೆಹಚ್ಚಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ.
- SCA ಅವಲಂಬನೆಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸುತ್ತದೆ ಮತ್ತು ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ಪತ್ತೆ ಮಾಡುತ್ತದೆ.
- ಸೀಕ್ರೆಟ್ಸ್ ಸೆಕ್ಯುರಿಟಿ ರೆಪೊಸಿಟರಿಗಳಾದ್ಯಂತ ಬಹಿರಂಗಗೊಂಡ ರುಜುವಾತುಗಳನ್ನು ಪತ್ತೆ ಮಾಡುತ್ತದೆ ಮತ್ತು pipelines.
- CI/CD ಭದ್ರತಾ ಅಸುರಕ್ಷಿತ ಬದಲಾವಣೆಗಳು ಮುಂದುವರಿಯುವ ಮೊದಲು ನೀತಿಗಳನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ.
- ಅಸಂಗತತೆ ಪತ್ತೆ ಅಭಿವೃದ್ಧಿ ಮತ್ತು ವಿತರಣಾ ಕೆಲಸದ ಹರಿವುಗಳಲ್ಲಿ ಅಸಾಮಾನ್ಯ ನಡವಳಿಕೆಯನ್ನು ಗುರುತಿಸುತ್ತದೆ.
- ASPM ತಂಡಗಳು ಮುಖ್ಯವಾದುದನ್ನು ಆದ್ಯತೆ ನೀಡಲು ಸಾಧ್ಯವಾಗುವಂತೆ ಸಂಶೋಧನೆಗಳನ್ನು ಒಂದೇ ಅಪಾಯದ ದೃಷ್ಟಿಕೋನಕ್ಕೆ ಪರಸ್ಪರ ಸಂಬಂಧಿಸುತ್ತದೆ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಸ್ವಭಾವತಃ ಅಡ್ಡ-ಪದರವಾಗಿರುವುದರಿಂದ ಇದು ಮುಖ್ಯವಾಗಿದೆ. ದುರ್ಬಲ ಅವಲಂಬನೆ, ಬಹಿರಂಗ ಟೋಕನ್ ಮತ್ತು ಅಸುರಕ್ಷಿತ ಕೆಲಸದ ಹರಿವಿನ ಬದಲಾವಣೆಯು ಪಾಯಿಂಟ್ ಪರಿಕರಗಳಲ್ಲಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಕಾಣಿಸಬಹುದು. ಆದಾಗ್ಯೂ, ಒಟ್ಟಿಗೆ ಅವು ಹೆಚ್ಚು ದೊಡ್ಡ ದಾಳಿ ಮಾರ್ಗವನ್ನು ಪ್ರತಿನಿಧಿಸಬಹುದು.
ತಿಳಿದುಕೊಳ್ಳಬೇಕಾದ AI ಭದ್ರತಾ ಅಪಾಯ ನಿರ್ವಹಣಾ ಚೌಕಟ್ಟುಗಳು
ತಂಡಗಳು ತಮ್ಮ ಕೆಲಸವನ್ನು ರೂಪಿಸಿಕೊಳ್ಳಲು ಹಲವಾರು ಚೌಕಟ್ಟುಗಳು ಸಹಾಯ ಮಾಡುತ್ತವೆ.
ನಮ್ಮ NIST AI ಅಪಾಯ ನಿರ್ವಹಣಾ ಚೌಕಟ್ಟು ಸಂಸ್ಥೆಗಳಿಗೆ AI ಅಪಾಯಗಳನ್ನು ನಕ್ಷೆ ಮಾಡಲು, ಅಳೆಯಲು, ನಿರ್ವಹಿಸಲು ಮತ್ತು ನಿಯಂತ್ರಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ. ಇದು ನಾಯಕತ್ವ, ಅನುಸರಣೆ ಮತ್ತು ಅಪಾಯ ಕಾರ್ಯಕ್ರಮಗಳಿಗೆ ಉಪಯುಕ್ತವಾಗಿದೆ.
ನಮ್ಮ LLM ಅರ್ಜಿಗಳಿಗೆ OWASP ಟಾಪ್ 10 ಇದು ಆಪ್ಸೆಕ್ ತಂಡಗಳಿಗೆ ಹೆಚ್ಚು ಪ್ರಾಯೋಗಿಕವಾಗಿದೆ ಏಕೆಂದರೆ ಇದು ತ್ವರಿತ ಇಂಜೆಕ್ಷನ್, ಸೂಕ್ಷ್ಮ ಡೇಟಾ ಮಾನ್ಯತೆ, ಪೂರೈಕೆ ಸರಪಳಿ ದುರ್ಬಲತೆಗಳು ಮತ್ತು ಅತಿಯಾದ ಏಜೆನ್ಸಿಯಂತಹ ತಾಂತ್ರಿಕ ಅಪಾಯಗಳನ್ನು ನೇರವಾಗಿ ನಕ್ಷೆ ಮಾಡುತ್ತದೆ.
ನಮ್ಮ NCSC AI ಮತ್ತು ಸೈಬರ್ ಭದ್ರತಾ ಮಾರ್ಗದರ್ಶನ AI ಸಾಂಸ್ಥಿಕ ಸೈಬರ್ ಅಪಾಯವನ್ನು ಹೇಗೆ ಬದಲಾಯಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳಬೇಕಾದ ಭದ್ರತಾ ನಾಯಕರಿಗೆ ಇದು ಉಪಯುಕ್ತವಾಗಿದೆ.
ಒಟ್ಟಾರೆಯಾಗಿ, ಈ ಸಂಪನ್ಮೂಲಗಳು ಒಂದು ಸ್ಪಷ್ಟ ಅಂಶವನ್ನು ತೋರಿಸುತ್ತವೆ: AI ಭದ್ರತೆಯನ್ನು ಜನರು, ಪ್ರಕ್ರಿಯೆಗಳು, ವ್ಯವಸ್ಥೆಗಳು ಮತ್ತು ಸಾಫ್ಟ್ವೇರ್ ವಿತರಣಾ ಕೆಲಸದ ಹರಿವುಗಳಲ್ಲಿ ನಿರ್ವಹಿಸಬೇಕು.
ಪರಿಶೀಲನಾಪಟ್ಟಿ: AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಹೇಗೆ ಕಡಿಮೆ ಮಾಡುವುದು
ಈ ಪರಿಶೀಲನಾಪಟ್ಟಿಯನ್ನು ಪ್ರಾಯೋಗಿಕ ಆರಂಭಿಕ ಹಂತವಾಗಿ ಬಳಸಿ.
| ನಿಯಂತ್ರಣ ಪ್ರದೇಶ | ಏನ್ ಮಾಡೋದು | ವೈ ಇಟ್ ಮ್ಯಾಟರ್ಸ್ |
|---|---|---|
| AI-ರಚಿತ ಕೋಡ್ | ರನ್ SAST IDE, PR, ಮತ್ತು CI/CD pipeline. | ಅಸುರಕ್ಷಿತ ಕೋಡ್ ಉತ್ಪಾದನೆಯನ್ನು ತಲುಪುವುದನ್ನು ತಡೆಯುತ್ತದೆ. |
| ಅವಲಂಬನೆಗಳು | ಬಳಸಿ SCA, ಮಾಲ್ವೇರ್ ಪತ್ತೆ, EPSS, ಮತ್ತು ತಲುಪುವಿಕೆ. | ಅಪಾಯಕಾರಿ AI-ಸೂಚಿಸಿದ ಪ್ಯಾಕೇಜ್ಗಳನ್ನು ನಿರ್ಬಂಧಿಸುತ್ತದೆ. |
| ಸೀಕ್ರೆಟ್ಸ್ | ಸ್ಕ್ಯಾನ್ commitಗಳು, ದಾಖಲೆಗಳು, ಇತಿಹಾಸ, IaC, ಮತ್ತು ಪಾತ್ರೆಗಳು. | ರುಜುವಾತುಗಳ ಮಾನ್ಯತೆ ಮತ್ತು ದುರುಪಯೋಗವನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ. |
| CI/CD | ಜಾರಿಗೊಳಿಸಿ pipeline guardrails ಮತ್ತು ನೀತಿ ದ್ವಾರಗಳು. | ಅಸುರಕ್ಷಿತ ನಿರ್ಮಾಣಗಳು ಮತ್ತು ನಿಯೋಜನೆಗಳನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. |
| ಏಜೆಂಟ್ ಪರಿಕರಗಳು | ಪರಿಕರ ಕರೆಗಳು, API ಪ್ರವೇಶ ಮತ್ತು ಕೆಲಸದ ಹರಿವಿನ ಬದಲಾವಣೆಗಳನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಿ. | ಅತಿಯಾದ ನಿರಂಕುಶತೆ ಮತ್ತು ಅನಿರೀಕ್ಷಿತ ನಡವಳಿಕೆಯನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ. |
| ಅಪಾಯ ನಿರ್ವಹಣೆ | ಬಳಸಿ ASPM ಸಂಶೋಧನೆಗಳನ್ನು ಹಂತಗಳಲ್ಲಿ ಪರಸ್ಪರ ಸಂಬಂಧಿಸಲು. | ತಂಡಗಳು ನಿಜವಾದ ವ್ಯವಹಾರ ಅಪಾಯದ ಮೇಲೆ ಗಮನಹರಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ. |
ಕೀ ಟೇಕ್ಅವೇಸ್
- AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಈಗ ಕೋಡ್, ಅವಲಂಬನೆಗಳು, ರಹಸ್ಯಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತವೆ, pipelineಗಳು, ಮತ್ತು ಏಜೆಂಟರು.
- ಸಾಂಪ್ರದಾಯಿಕ AppSec ಪರಿಕರಗಳು ಇನ್ನೂ ಅಗತ್ಯವಿದೆ, ಆದರೆ ಅವು ಮೊದಲೇ ಮತ್ತು ಹೆಚ್ಚಿನ ಸಂದರ್ಭದೊಂದಿಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸಬೇಕು.
- AI-ರಚಿತ ಕೋಡ್ ಅನ್ನು ಮೌಲ್ಯೀಕರಿಸುವವರೆಗೆ ಅದನ್ನು ವಿಶ್ವಾಸಾರ್ಹವಲ್ಲ ಎಂದು ಪರಿಗಣಿಸಬೇಕು.
- AI ಏಜೆಂಟ್ ಕೆಲಸದ ಹರಿವುಗಳು ಅಗತ್ಯವಿದೆ guardrails, ಅನುಮತಿಗಳು ಮತ್ತು ವೀಕ್ಷಣೆ.
- DevSecOps ತಂಡಗಳಿಗೆ ಪ್ರಪಂಚದಾದ್ಯಂತ ಏಕೀಕೃತ ಗೋಚರತೆಯ ಅಗತ್ಯವಿದೆ SDLC AI ಅಪಾಯವನ್ನು ಪರಿಣಾಮಕಾರಿಯಾಗಿ ನಿರ್ವಹಿಸಲು.
FAQ: AI ಭದ್ರತಾ ಅಪಾಯಗಳು
AI ಭದ್ರತಾ ಅಪಾಯಗಳೇನು?
AI ಭದ್ರತಾ ಅಪಾಯಗಳು AI ವ್ಯವಸ್ಥೆಗಳನ್ನು ನಿರ್ಮಿಸಿದಾಗ, ಸಂಯೋಜಿಸಿದಾಗ ಅಥವಾ ಬಳಸಿದಾಗ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಬೆದರಿಕೆಗಳು ಅಥವಾ ದೌರ್ಬಲ್ಯಗಳಾಗಿವೆ. ಅವು ಮಾದರಿಗಳು, ಡೇಟಾ, ಪ್ರಾಂಪ್ಟ್ಗಳು, ಕೋಡ್, ಅವಲಂಬನೆಗಳು, API ಗಳು ಮತ್ತು pipelines.
DevSecOps ತಂಡಗಳಿಗೆ ಇರುವ ಅತಿದೊಡ್ಡ AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಯಾವುವು?
ಅತಿದೊಡ್ಡ ಅಪಾಯಗಳೆಂದರೆ ಅಸುರಕ್ಷಿತ AI- ರಚಿತ ಕೋಡ್, ದುರ್ಬಲ ಅವಲಂಬನೆಗಳು, ರಹಸ್ಯಗಳ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ, ತ್ವರಿತ ಇಂಜೆಕ್ಷನ್, ಅತಿಯಾದ ಏಜೆಂಟ್ ಅನುಮತಿಗಳು ಮತ್ತು ಅಸುರಕ್ಷಿತ CI/CD ಯಾಂತ್ರೀಕೃತಗೊಂಡ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳು ಸಾಂಪ್ರದಾಯಿಕ ಸೈಬರ್ ಭದ್ರತಾ ಅಪಾಯಗಳಿಗಿಂತ ಏಕೆ ಭಿನ್ನವಾಗಿವೆ?
AI ವ್ಯವಸ್ಥೆಗಳು ಕೋಡ್ ಅನ್ನು ರಚಿಸಬಹುದು, ಅವಲಂಬನೆಗಳನ್ನು ಸೂಚಿಸಬಹುದು, ಕರೆ ಪರಿಕರಗಳನ್ನು ಮಾಡಬಹುದು ಮತ್ತು ಸ್ವಾಯತ್ತವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಬಹುದು. ಪರಿಣಾಮವಾಗಿ, ಅಪಾಯಗಳು ವೇಗವಾಗಿ ಮತ್ತು ಹೆಚ್ಚಿನ ಪದರಗಳಲ್ಲಿ ಗೋಚರಿಸುತ್ತವೆ SDLC.
AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ತಂಡಗಳು ಹೇಗೆ ಕಡಿಮೆ ಮಾಡಬಹುದು?
AI-ರಚಿತ ಕೋಡ್ ಅನ್ನು ಸ್ಕ್ಯಾನ್ ಮಾಡುವುದು, ಅವಲಂಬನೆಗಳನ್ನು ಮೌಲ್ಯೀಕರಿಸುವುದು, ರಹಸ್ಯಗಳನ್ನು ಪತ್ತೆಹಚ್ಚುವುದು, ಜಾರಿಗೊಳಿಸುವ ಮೂಲಕ ತಂಡಗಳು ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಮಾಡಬಹುದು CI/CD guardrails, ಏಜೆಂಟ್ ನಡವಳಿಕೆಯನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡುವುದು ಮತ್ತು ಸಂಶೋಧನೆಗಳನ್ನು ಪರಸ್ಪರ ಸಂಬಂಧಿಸುವುದು ಮೂಲಕ ASPM.
AI-ರಚಿತ ಕೋಡ್ ಸುರಕ್ಷಿತವೇ?
AI-ರಚಿತ ಕೋಡ್ ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ ಸುರಕ್ಷಿತವಲ್ಲ. ಅದು ಉತ್ಪಾದನೆಯನ್ನು ತಲುಪುವ ಮೊದಲು ಅದನ್ನು ಪರಿಶೀಲಿಸಬೇಕು, ಸ್ಕ್ಯಾನ್ ಮಾಡಬೇಕು, ಪರೀಕ್ಷಿಸಬೇಕು ಮತ್ತು ಮೌಲ್ಯೀಕರಿಸಬೇಕು.
ಅಂತಿಮ ಆಲೋಚನೆಗಳು: AI ಭದ್ರತಾ ಅಪಾಯಗಳ ಅಗತ್ಯ SDLC- ಮಟ್ಟದ ನಿಯಂತ್ರಣಗಳು
AI ಸಾಫ್ಟ್ವೇರ್ ಅಪಾಯದ ವೇಗ ಮತ್ತು ಆಕಾರವನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. ಇದು ತಂಡಗಳನ್ನು ವೇಗವಾಗಿ ನಿರ್ಮಿಸಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ, ಆದರೆ ಇದು ಅಸುರಕ್ಷಿತ ಕೋಡ್, ಬಹಿರಂಗ ರಹಸ್ಯಗಳು, ಅಸುರಕ್ಷಿತ ಅವಲಂಬನೆಗಳು ಮತ್ತು ಅಪಾಯಕಾರಿ ಯಾಂತ್ರೀಕೃತಗೊಂಡ ವಿತರಣಾ ಸರಪಳಿಯನ್ನು ಪ್ರವೇಶಿಸಲು ಹೊಸ ಮಾರ್ಗಗಳನ್ನು ಪರಿಚಯಿಸುತ್ತದೆ.
ಆದ್ದರಿಂದ, AI ಭದ್ರತೆಯನ್ನು ಮಾದರಿ ಆಡಳಿತ ಅಥವಾ ನೀತಿ ದಾಖಲೆಗಳೊಂದಿಗೆ ಮಾತ್ರ ನಿರ್ವಹಿಸಲಾಗುವುದಿಲ್ಲ. ಇದಕ್ಕೆ ಒಳಗೆ ಪ್ರಾಯೋಗಿಕ ನಿಯಂತ್ರಣಗಳು ಬೇಕಾಗುತ್ತವೆ SDLC: IDE ಪ್ರತಿಕ್ರಿಯೆ, SAST, SCA, ರಹಸ್ಯಗಳ ಪತ್ತೆ, CI/CD guardrails, ಅಸಂಗತತೆ ಪತ್ತೆ, ಮತ್ತು ASPM- ಮಟ್ಟದ ಪರಸ್ಪರ ಸಂಬಂಧ.
AI ಭದ್ರತಾ ಅಪಾಯಗಳನ್ನು ಉತ್ತಮವಾಗಿ ನಿರ್ವಹಿಸುವ ತಂಡಗಳು AI ಅಳವಡಿಕೆಯನ್ನು ತಡೆಯುವುದಿಲ್ಲ. ಅವರು ಅದರ ಸುತ್ತಲೂ ಸರಿಯಾದ ಸುರಕ್ಷತಾ ಪದರವನ್ನು ನಿರ್ಮಿಸುತ್ತಾರೆ.
