AI-Driven SDLCs Jixwe Li Vir in. AI êdî nayê. Ew jixwe li vir e. Ew di IDE-yên me de kodê dinivîse. Ew pirtûkxaneyan hildibijêre. Ew vedike. pull requestsEw di gavên me de dimeşe pipelines. Pirs êdî ne ew e ku gelo pêşdebir dê AI bikar bînin an na. Pirs ev e ku rêxistin çawa xuyabûn, kontrol û baweriyê diparêzin dema ku ew wiya dikin.
Pêşveçûna nermalava nûjen jixwe ketiye serdema AI-ê
Li seranserê rêxistinên endezyariyê, pêşdebir ji niha ve hev-pîlot, alîkarên kodkirinê, IDE-yên bi hêza AI, ajanên navxweyî, amûrên bi MCP-yê ve girêdayî, û herikînên xebatê yên xweser ên ku her ku diçe zêde dibin wekî beşek ji operasyonên pêşkeftina rojane bikar tînin. Tiştê ku wekî ceribandin dest pê kir, zû di nav çerxa jiyana pêşkeftina nermalavê de cih girt. Ew mijara navendî ya Gotûbêja SafeDev a herî dawî bû ku ji hêla Xygeni ve hate pêşkêş kirin: "AI-Driven SDLCs Jixwe li vir in. Niha çi?"
Rûniştin li hev anî Sam Stepanyan, Endamê Lijneya Rêveberiyê ya Cîhanî ya OWASP û Serokê Beşa Londonê ya OWASP; Aşwînî Siddhi, Endamê Lijneya Gerdûnî ya OWASP û rêberê ewlehiya sîber ku balê dikişîne ser jîngehên ku ji hêla AI ve têne rêvebirin; û Îsa Cuadrado, CEO li Xygeni, ji hêla Luis Rodriguez, Karmendê Lêkolînê li Xygeni.
Û tiştê ku di tevahiya nîqaşê de derket holê peyamek zelal bû: axaftina AppSec bi awayekî bingehîn guheriye. Tîmên ewlehiyê êdî ji bo pejirandina AI di nav pêşvebirina nermalavê de amadekariyan nakin. Ew jixwe bi wê re mijûl dibin.
Xalên Sereke ji bo Karê Bi AI-ê Ve Dike SDLCs
- AI jixwe di hemî alavên nûjen de cih girtiye. SDLCbi rêya hev-pîlotan, alîkarên kodkirinê, ajanên xweser, û amûrên pêşveçûnê yên bi hêza AI-ê.
- Modelên AppSec ên kevneşopî ji bo koda ku ji hêla AI ve hatî çêkirin, girêdayîbûnên halûsînasyonkirî, herikînên xebatê yên xweser, an pêşkeftina bi leza makîneyê nehatine sêwirandin.
- Shadow AI ji bo dîtin û rêveberiyê dibe pirsgirêkek mezin CISTîmên OS û AppSec.
- Pêşveçûna bi alîkariya AI-ê rûyên êrîşê yên nû derdixe holê, di nav de derzîkirina bilez, girêdayîbûnên xerab, îstismara MCP-ê, û herikînên xebatê yên ajantî.
- Rêxistin hewceyê modelên rêveberiyê yên bi hişmendiya AI ne ku li dora xuyabûn, destnîşankirin, îmtiyaza herî kêm, û verastkirina domdar hatine avakirin.
- Pîşesazî bi lez ber bi ajantiyê ve diçe SDLCku pergalên AI bi awayekî çalak operasyonên pêşkeftinê pêk tînin.
Temaşekirina tevahiya danişîna SafeDev Talk: AI-Driven SDLCs Jixwe li vir in
Li jêr çend ji têgihîştinên sereke yên ku di rûniştinê de hatine nîqaşkirin hene, di nav de ka AI çawa modela gefa AppSec ji nû ve diguherîne, çima CISOs (karûbarên xebitandinê) di hawîrdorên pêşkeftinê de xuyabûna xwe winda dikin, û kîjan kontrolên pratîkî divê rêxistinên pêşîn bidin pêşiyê.
Çima Bi Awayê AI-ê Ve Tê Birêvebirin SDLC Niha Ewlehî Girîng e
Pejirandina AI di nav pêşkeftina nermalavê de ji ya ku piraniya bernameyên rêveberiyê dikarin xwe biguncînin zûtir dibe. Her ku rêxistin ji hev-pîlotan ber bi ajanên ku her ku diçe xwesertir dibin ve diçin, SDLC bêtir bi makîneyê ve tê ajotin, dînamîk dibe, û bi karanîna rêbazên kevneşopî yên AppSec-ê şopandina wê dijwartir dibe.
Ji bo gelekan CISJi bo rêberên OS û AppSec, pirsgirêk êdî ne ew e ku gelo AI dê bikeve jîngehên pêşveçûnê an na. Pirsgirêk ew e ku meriv çawa xuyangî, destnîşankirin û kontrola operasyonel biparêze piştî ku ew jixwe heye.
Ew guhertin jixwe rêxistinan neçar dike ku ji nû ve bifikirin software supply chain security, modelên rêveberiyê, xuyabûna pêşdebiran, û rola baweriyê di nav jîngehên pêşkeftina nermalava nûjen de.
Pejirandina AI Ji Rêvebiriya Ewlehiyê Zûtir Pêşve Diçe
Yek ji mijarên herî xurt ên di tevahiya axaftinê de lez bû. Wekî ku Luis Rodriguez di vekirinê de rave kir, AI êdî bi ceribandin an amûrên hilberînê yên îzolekirî ve sînordar nîne. Ew jixwe rasterast beşdarî karên pêşveçûnê dibe: nivîsandina kodê, hilbijartina pirtûkxaneyan, têkiliya bi ... re. pipelines, û her ku diçe li seranserê binesaziya nermalavê bixwe dixebite.
Tiştê ku panelîstan herî zêde matmayî hişt ne hebûna pejirandina sûnî (AI) bû, lê belê ew çiqas berbelav e, pir caran bêyî xuyabûn an rêvebiriyeke fermî. Sam Stepanyan behsa nelihevkirineke mezin di navbera siyaseta ewlehiyê ya fermî û tiştê ku bi rastî di nav tîmên endezyariyê de diqewime, nemaze di pîşesaziyên birêkûpêk de, kir. Hin rêxistin hîn jî îdîa dikin ku ew "AI bikar naynin", di heman demê de pêşdebir jixwe hev-pîlot, alîkar û amûrên AI-ê di nav karûbarên xwe yên rojane de entegre dikin.
Di heman demê de, wî rastiyek destnîşan kir ku gelek rêxistin hîn jî têdikoşin ku qebûl bikin: tewra pargîdaniyên ku hewl didin ji pejirandina AI dûr bisekinin jî hîn jî bi dijberên ku jixwe wê bi tundî bikar tînin re rû bi rû dimînin. Ew alozî tiştê ku gelek rêberên ewlehiyê niha wekî Shadow AI di nav jîngehên pêşvebirina nermalavê de, pergalên AI-ê yên ku li derveyî modelên rêveberiyê yên damezrandî dixebitin, diafirîne.
Ashwini Siddhi perspektîfeke din a girîng lê zêde kir. Tiştê ku wê eleqedar dike ne tenê leza pejirandinê bi xwe ye, lê nebûna paqijiya operasyonel a li dora koda ku ji hêla AI ve hatî çêkirin e. Di dema nîqaşê de, wê destnîşan kir ku çawa rêxistin pir caran ne xwediyê vegotinek pêbawer in li ser cihê ku AI beşdarî kiriye, çima koda taybetî çêkiriye, an jî ew çawa defin dikin.cisdivê îyon paşê werin nirxandin û piştrast kirin. Encam girîng e: tîmên pêşvebirinê beşdarên ne-mirovî dixin nav SDLC, lê piraniya modelên rêveberî û nirxandinê hîn jî tenê nivîskariya mirovan texmîn dikin.
AI ne tenê pêşveçûnê lez dike. Ew awayê ketina rîskê diguherîne. SDLC
Her ku AI di nav karên pêşvebirina nermalavê de cih digire, rûbera êrîşê ji texmînên kevneşopî yên AppSec-ê pir wêdetir berfireh dibe. Panel bi berdewamî vegeriya ser ramanek navendî: piraniya bernameyên ewlehiyê li dora xetereyên naskirî yên ku bi leza mirovan dixebitin hatine avakirin. AI her du mercan di heman demê de diguherîne.
Tîmên ewlehiyê êdî tenê kodên ji hêla mirovan ve hatine nivîsandin nanirxînin. Ew her ku diçe bi girêdayîbûnên ji hêla AI ve têne çêkirin, rîskên derzîkirina bilez, herikînên xebatê yên xweser, amûrên bi MCP ve girêdayî, pêvekên AI, û leza makîneyê re mijûl dibin. CI/CD birêverbirî.
Ashwini Siddhi rave kir ku yek ji têgehên pêşîn ku dest bi şikandinê dike sînorê baweriyê yê kevneşopî bi xwe ye. Sîstemên AI li ser hejmareke mezin ji kodên giştî têne perwerdekirin, ku piraniya wan ne ewle, kevnar, an jî ne gengaz e ku bi tevahî werin verast kirin. Di encamê de, rêxistin şiyana diyarkirina bi zelalî ya tiştên ku di nav sînorên pêbawer de an li derveyî wan in winda dikin.
Wê her wiha tekez kir ku AI bi awayekî bingehîn xwezaya modelkirina gefan diguherîne ji ber ku ev pergal ne statîk in. Nirxandinên ewlehiyê yên kevneşopî yên xal-di-demî êdî di hawîrdorên ku pergalên AI bi berdewamî pêşve diçin, diguherin û tevgerê bi awayekî dînamîk baştir dikin de nagirin.
Jesus Cuadrado ji perspektîfa zincîra dabînkirina nermalavê ve nêzîkî pirsgirêkê bû. Yek ji mînakên herî zelal ên ku di danişînê de hatin nîqaşkirin girêdayîbûnên pêşniyarkirî yên ji hêla AI ve bûn. Pêşdebir her ku diçe pêşniyarên pakêtên ku ji hêla AI ve têne çêkirin bixweber qebûl dikin, pir caran bi pêvajoyek pejirandinê ya hindik an bêyî wê. Ev yek rêyek êrîşê ya bi tevahî nû diafirîne.
Wekî ku di panelê de hate nîqaş kirin, êrîşkar dikarin navên pakêtên halûsînasyonkirî yên ku ji hêla modelên zimanî yên mezin ve têne çêkirin nas bikin, wan pakêtan di depoyên giştî de tomar bikin, û li benda pêşdebir an ajanên AI bin ku wan bixweber saz bikin.
Ev yek bi awayekî berbiçav pêşbîniyên li pişt kevneşopî diguherîne SCA bernameyan. Tîmên ewlehiyê êdî tenê bi girêdayîbûnên qels ên naskirî re mijûl nabin. Ew her ku diçe bi girêdayîbûnên ku dibe ku çend deqîqe berê xuya bibin û tevgerên xerabkar ên ku bi taybetî ji bo herikînên xebatê yên bi alîkariya AI-ê hatine çêkirin dihewînin re mijûl dibin.
Di nîqaşê de her wiha hate vekolandin ka êrîş çawa dest bi hedefgirtina rûberên bi tevahî nû di nav jîngehên pêşveçûnê de dikin. Derzîkirina bilez di nav şîroveyan de, pelên rêwerzan ên jehrî ji bo ajanan, têkiliyên MCP yên xerabkar, û herikînên xebatê yên AI yên manîpulekirî hemî dibin vektorên êrîşê yên rastîn. Encam modelek tehdîdê ye ku ji bernameyên kevneşopî yên AppSec-ê yên ku di destpêkê de ji bo wan hatine sêwirandin berfirehtir, bileztir û pir dînamîktir e.
CISOs li seranserê dîmenê winda dikin SDLC
Dîtinî bû yek ji mijarên serdest di tevahiya nîqaşê de. Wekî ku Luis Rodriguez di dema rûniştinê de kurteber kir, gelek rêberên ewlehiyê bi tenê nizanin pêşdebirên wan kîjan amûrên AI bikar tînin, kîjan koda AI-ê ya çêkirî dikeve depoyan, an kîjan ajan bi wan re têkilî datînin. pipelines û binesaziyê.
Panelê vê yekê wekî pêşveçûna Shadow IT bo Shadow AI bi nav kir. Lê berevajî nifşên berê yên amûrên bê destûr, ev pergal bi awayekî çalak beşdarî pêşveçûna de dibin.cisîyon. Ew kodê çêdikin, girêdayîyan hildibijêrin, bi binesaziyê re têkilî daynin, û her ku diçe li ser navê pêşdebiran hilbijartinên operasyonel dikin.
Sam Stepanyan bal kişand ser dijwariyeke din a girîng: destnîşankirina îspatê. Her ku kodên ji hêla AI ve têne çêkirin gelemperîtir dibin, rêxistin şiyana xwe ya bi zelalî destnîşankirina kê (an çi) çalakiyek taybetî çêkiriye winda dikin.
Ew windakirina şopandinê hem pirsgirêkên rêveberiyê û hem jî yên operasyonel diafirîne. Ger tîm nikaribin bi awayekî pêbawer di navbera tevgera mirovan û ya ji hêla AI ve hatî çêkirin de cûdahiyê bikin, bersiva bûyerê, denetim û nirxandina ewlehiyê hemî bi girîngî tevlihevtir dibin.
Di nîqaşê de her wiha behsa meyla zêde ya baweriya zêde bi encamên ji hêla AI ve hatine çêkirin jî hat kirin. Pêşdebir pir caran texmîn dikin ku ji ber ku koda ji hêla AI ve hatî çêkirin pêbawer û fonksiyonel xuya dike, divê ew ewle be jî. Lê wekî ku Sam destnîşan kir, ev pergal pir caran li ser mînakên giştî yên ne ewle têne perwerdekirin û dikarin encamên qels an bi tevahî halûsînasyonkirî bi pêbaweriyek bilind çêbikin. Ev kombînasyonek xeternak diafirîne: dîtina sînorkirî, kêmbûna destnîşankirina sedeman, û zêdebûna baweriyê bi pergalên ku rêxistin bi tevahî fêm nakin.
Pîşesazî Bi Bêdeng Ber Bi Ajantiyê Ve Diçe SDLCs
Yek ji beşên herî girîng ên nîqaşê li ser veguherîna ji hevpîlotan bo ajanên xweser bû. Panelîst li hev kirin ku pîşesazî bi lez ber bi tiştê ku dikare bêtir wekî ajanek were binavkirin ve diçe. SDLC, jîngehên ku pergalên AI êdî ne tenê kodê pêşniyar dikin, lê di heman demê de bi awayekî çalak li seranserê çerxa jiyana nermalavê çalakiyan dikin.
Sîstemên AI dest bi vekirinê dikin pull requests, ceribandinan pêk bîne, amûrên derveyî bikar bîne, binesaziyê biguherîne, bi API-yan re têkilî dayne, û di nav jîngehên pêşkeftinê de bi awayekî xweser bixebite. Bi gotineke din, AI ji alîkar ber bi operator ve diçe.
Ew guhertin bi awayekî bingehîn modela ewlehiyê diguherîne. Wekî ku nîqaşê lêkolîn kir, rêxistin dê bi îhtîmaleke mezin hewceyê nêzîkatiyên rêveberiyê yên bi tevahî nû bin ku li dora nasnameyê ji bo ajanên AI, gihîştina kêm-îmtiyaz, kontrolkirina kontrolkirî, çavdêriya mirovan, çalakiyên îmzekirî, û dîtina domdar a tevgera AI-ê ne.
Nimûneyek bi taybetî balkêş ku di danişînê de hat nîqaşkirin, pergala AI-ê bû ku hewl dida parastinên ewlehiyê yên xala dawîn li ser stasyonek xebatê ya pêşdebiran neçalak bike da ku bigihîje armanca xwe ya destnîşankirî.
Ew mînak rastiyek girîng di derbarê jîngehên ku ji hêla AI ve têne rêvebirin nîşan dide: ev pergal ji bo armancan çêtirîn dikin, ne hewce ye ku ji bo sînorên ewlehiyê. AppSec-a kevneşopî li ser bingeha şopandina şaşiyên mirovan hatiye avakirin. Nifşê din ê AppSec-ê dê hewce bike ku bi awayekî zêdetir tevgerên xweser birêve bibe.
Çima AI-Aware AppSec Nêzîkatiyek Sifir Baweriyê Pêwîst Dike
Gelek mijarên ku di SafeDev Talk de hatine nîqaşkirin bi guhertina berfirehtir a ber bi tiştê ku Xygeni wekî Baweriya Sifir ji bo serdema AI-ê pênase dike SDLC: baweriya xwe bi tiştekî neyne, her tiştî verast bike, tevî AI bi xwe jî. Wekî ku di nêzîkatiya platformê ya Xygeni de hatî destnîşan kirin, AI rûbera êrîşê li ser gelek tebeqan di heman demê de berfireh dike:
- koda partiya yekem,
- girêdayîbûn,
- CI/CD pipelines,
- Model û ajanên AI,
- û jîngehên pêşdebiran.
Gelek ji van deveran bi piranî ji amûrên kevneşopî yên AppSec-ê re nayên dîtin. Pirsgirêk êdî ne tenê şopandina kodê ye ji bo qelsiyan. Rêxistin her ku diçe hewcedarê dîtina girêdayîbûnên ku ji hêla AI ve têne çêkirin, çalakiyên AI di nav jîngehên pêşdebiran de, tevgera ajan, binesaziya girêdayî AI, û têkiliyên zincîra dabînkirina nermalavê yên ku bi leza makîneyê diqewimin in.
Ji ber vê yekê jî têgehên wekî envantera AI, hişyariya AI ASPM, AI-SPM, û rêveberiya jîngeha pêşdebiran bi lez û bez dibin navendî ji bo axaftinên AppSec ên nûjen.
Ew SDLC Jixwe Guheriye
SafeDev Talk tiştek pir eşkere kir: AI jixwe di hundurê de cih girtiye SDLC. Pîşesazî êdî nîqaş nake ka gelo pêşveçûn bi alîkariya AI dê çêbibe an na. Ev veguhertin jixwe di nav rêxistinên endezyariyê yên her mezinahî de di rê de ye.
Niha zehmetiya rastîn ew e ku meriv bikaribe dîtbarî, rêveberî, destnîşankirin û kontrola operasyonel li seranserê jîngehên pêşveçûnê yên ku her ku diçe xweser dibin biparêze.
Her ku pejirandina AI-ê zûtir dibe, texmînên kevneşopî yên AppSec-ê yên li dora sînorên baweriyê, nivîskariya mirovan, çavkaniya nermalavê, û modelên rêveberiya statîk dê berdewam hilweşin.
Ne hewce ye ku rêxistinên ku herî zû xwe biguherînin bibin yên ku pejirandina AI hêdî dikin. Ew ê bibin yên ku dikarin pêşkeftina nermalava AI-ê bi leza ku ew jixwe diçe fam bikin, birêve bibin û ewle bikin.
Axaftinê li OWASP Global AppSec EU Vienna bidomînin
Gotûbêj li ser mijara ku ji hêla AI ve tê rêvebirin SDLC ewlehî tenê dest pê dike. Xygeni dê li OWASP Global AppSec EU li Viyanayê lêkolîna van mijaran bidomîne, li wir tîm dê li ser AppSec-a hişyar a AI nîqaş bike, software supply chain security, rêveberiya AI, û xetereyên derketî yên jîngehên pêşveçûna ajansî.
Ger hûn beşdarî bibin OWASP Global AppSec EU, werin li Viyanayê li standa G-08 bi tîma Xygeni re hevdîtin bikin!
