Ачык булак заманбап программалык камсыздоону иштеп чыгуунун пайдубалына айланды. Бүгүнкү күндө дээрлик ар бир тиркеме үчүнчү тараптын китепканаларынын, фреймворкторунун, моделдеринин жана куруу куралдарынын татаал желесине таянат. Бул чындыктын өзү эле маанилүү нерселерди киргизип жатат. software supply chain security кыйынчылыктар. Ошол эле учурда, жасалма интеллект программалык камсыздоону иштеп чыгуу цикли күчтүү акселератор катары кодду жаратат, көз карандылыктарды сунуштайт, оңдоолорду автоматташтырат жана ал тургай архитектуралык дизайнга таасир этетcisиондор. Ачык булак жана жасалма интеллект биргелешип программалык камсыздоонун кантип курулганын жана сөзсүз түрдө ага кандайча кол салынганын өзгөрттү. Жасалма интеллект коопсуздугунун, жасалма интеллекттин жана программалык камсыздоонун коопсуздугунун кесилиши жана software supply chain security мындан ары теориялык эмес. Ал азыр инженердик уюмдар туш болгон программалык камсыздоо чынжырынын тобокелдигинин негизги булактарынын бири.
Бул чындык биздин жакында болгон SafeDev Talk талкуубуздун негизин түздү: Ачык булак, жасалма интеллект жана жаңы чабуул бети: куралданган код, акылдуураак коргонуу, Red Hat, TikTok жана Xygeni компанияларынын коопсуздук боюнча жетекчилери катышты. Талкуу коопсуздук жана инженердик топтор өндүрүш чөйрөсүндө, айрыкча ачык булактуу жеткирүү чынжырына кол салуулар, зыяндуу ачык булактуу пакеттер жана жасалма интеллект менен башкарылуучу программалык камсыздоону иштеп чыгууда ылдамдык менен башкаруунун ортосундагы өсүп жаткан чыңалууга байланыштуу эмнелерди башынан өткөрүп жатканына багытталды. Көрүнүп тургандай, ачык-айкын көрүнүш пайда болду: чабуулдун бети салттуу коопсуздук моделдерине караганда тезирээк кеңейип жатат, ал эми жасалма интеллект күч көбөйтүүчү жана жасалма интеллекттин коопсуздугундагы көптөн берки божомолдор үчүн стресс-тест катары кызмат кылууда. software supply chain security.
Эгерде бул сүрөттөмө сиздин уюмуңуздун программалык камсыздоону азыркы учурда кантип түзүп жатканына ыңгайсыздык жаратса, бул кокустук эмес. Көптөгөн командалар бир нерсе бузулгандан кийин гана автоматташтырууга канчалык ишеним артканын түшүнүшөт.
Жасалма интеллект коопсуздугу жана Software Supply Chain Security Азыр ошол эле көйгөй
Талкуу учурунда кайталанып турган тема - жасалма интеллекттин коопсуздугун мындан ары өзүнчө тартип катары кароого болбойт деген маселе болду. software supply chain security. Жасалма интеллект системалары өзүнчө иштебейт; алар ошол эле аркылуу курулат, окутулат, жайылтылат жана интеграцияланат pipelineачык булактуу жеткирүү чынжырынын чабуулдары менен күрөшүп жаткандар, көз карандылыктар жана реестрлер.
Жасалма интеллект менен башкарылган программалык камсыздоону иштеп чыгууда моделдер кодду сунушташат, оңдоолорду түзүшөт жана көз карандылыктарды автоматтык түрдө тандашат. Буларcisиондор түздөн-түз таасир этет ачык булактан көз карандылыкты башкаруу, көп учурда адамдын ачык ниети жок. Натыйжада, көз карандылык тобокелдиги мындан ары иштеп чыгуучунун тандоосу менен гана аныкталбайт; ал барган сайын жасалма интеллекттин жүрүм-туруму менен калыптанууда.
Бул конвергенция жасалма интеллекттеги жана программалык камсыздоонун коопсуздугундагы мүчүлүштүктөр көбүнчө салттуу жеткирүү чынжырындагы окуялар катары көрүнөт: бузулган көз карандылыктар, булганган курулуш артефакттары же аялуу абал. CI/CD процесстер. Куралдар жаңы болушу мүмкүн, бирок программалык камсыздоо чынжырынын тобокелдиги абдан реалдуу жана аны менен ой жүгүртүү барган сайын кыйындап баратат.
Эгерде сиздин коркунуч моделдериңиз дагы эле "жасалма интеллект тобокелдигин" "жеткирүү чынжырынын тобокелдигинен" бөлүп турса, анда ал чек ара сиздин куруу жана жайылтуу жумуш агымдарыңызда чындыгында кайда бар экенин кайра карап чыгууга арзыйт.
Машина ылдамдыгындагы ачык булактуу камсыздоо чынжырына кол салуулар
Ачык булактуу жеткирүү чынжырындагы чабуулдар жаңылык эмес, бирок жасалма интеллект алардын экономикасын өзгөртөт. Чабуулчуларга жаңы ыкмалардын кереги жок; аларга масштаб керек. Жасалма интеллект экосистеманы тез талдоону, алсыз көз карандылыктарды автоматтык түрдө аныктоону жана чабуулдун пайдалуу жүктөмдөрүн тез кайталоону камсыз кылат.
Чабуулдук көз караштан алганда, чалгындоонун бул индустриялашуусу зыяндуу ачык булактуу пакеттерди камтыган чабуулдардын ийгиликтүүлүк көрсөткүчүн кескин жогорулатат. Мурда байкалбай калган компоненттерди эми коргоочулар колдонулуп жатканын түшүнө электе эле тез таап, талдап жана пайдаланууга болот.
Бул эмне үчүн software supply chain security кечиктирилген сигналдарга гана таянууга болбойт. Реестрлер, кеңештер жана фактыдан кийинки ачыктоолор адам убактысынын шкаласы боюнча иштейт, ал эми чабуулчулар барган сайын машинанын ылдамдыгында иштешет. Натыйжада пайда болгон тобокелдик терезеси программалык камсыздоо чынжырынын тобокелдигинин өсүшүнө түздөн-түз салым кошот.
Эгерде сиздин негизги аныктоо сигналыңыз "реестр пакетти алып салды" болсо, сиз чабуулчунун убакыт тилкесинин ылдый жагында иштеп жатасыз.
Ачык булактуу программалык камсыздоо чынжырынын чабуулдарын терең изилдегиңиз келеби?
Жасалма интеллектке негизделген программалык камсыздоону иштеп чыгуудагы көз карандылык тобокелдиги
SafeDev баяндамасында талкууланган эң ачык тобокелдиктердин бири, айрыкча, жасалма интеллектке негизделген программалык камсыздоону иштеп чыгууга көп таянган чөйрөлөрдө, көз карандылык коркунучу болду. Жасалма интеллект коддоо жардамчылары чабуулдун бетин минималдаштыруу үчүн эмес, ыңгайлуулук жана ылдамдык үчүн оптималдаштырылган.
Иш жүзүндө бул агрессивдүү көз карандылыктын пайда болушуна алып келет. Бар болгон функцияларды кайра колдонуунун ордуна жаңы китепканалар кошулат, транзитивдик көз карандылыктар үнсүз кеңейтүү жана ачык булак көз карандылыкты башкаруу атайылап эмес, реактивдүү болуп калат. Убакыттын өтүшү менен командалар чындыгында эмнени иштетип жатканы жөнүндө ой жүгүртүү жөндөмүн жоготушат.
Бул жөн гана гигиена маселеси эмес. Ар бир жаңы көз карандылык программалык камсыздоо чынжырынын кошумча тобокелдигин, жаңы ишеним божомолдорун жана ачык булактуу камсыздоо чынжырына кол салуулар үчүн жаңы мүмкүнчүлүктөрдү алып келет. Көз карандылык качанcisиондор автоматташтырылып, үстүртөн каралып чыккандыктан, көз карандылык тобокелдиги кокустук эмес, системалуу мүнөзгө ээ болот.
Эгерде сиздин көз карандылык графигиңиз командаңыздын аны түшүндүрүү мүмкүнчүлүгүнө караганда тезирээк өсүп жатса, бул куралдар көйгөйү эмес; бул ишеним көйгөйү.
Жасалма интеллект коддоо жардамчылары, коопсуздук жана карап чыгуунун кыйрашы
Талкууланган дагы бир мүчүлүштүк режими - бул жасалма интеллект тарабынан түзүлгөн коддун катышуусунда эксперттик баалоодон баш тартуу. Жасалма интеллект коддоо боюнча жардамчылардын коопсуздугу жөн гана тез киргизүү же моделди туура эмес колдонуу жөнүндө эмес; бул өндүрүш системаларына канчалык деңгээлде каралбаган логиканын кириши жөнүндө.
Жасалма интеллект тарабынан түзүлгөн өзгөрүүлөр көп учурда чоң, ырааттуу жана убакыттын кысымында карап чыгуу кыйынга турат. Натыйжада, кесиптештердин баалоосу үстүртөн же символикалык болуп калат. Бул тынч кыйроо эң натыйжалуу башкаруу элементтеринин бирин жокко чыгарат software supply chain security.
Көйгөй иштеп чыгуучунун шалаакылыгында эмес. Бул жумуш агымынын туура эмес жайгашуусунда. Ылдамдык сыйлыкка ээ болуп, сүрүлүү жазаланганда, адамдын көңүл буруусуна көз каранды болгон жасалма интеллект жана программалык камсыздоонун коопсуздугун башкаруу сөзсүз түрдө алсырайт. Эгерде кароо мындан ары тоскоолдук катары иштебей калса, чабуулчулар кароону айланып өтүүнүн кажети жок.
Көптөгөн топтор кайра карап чыгуу процесси бар болгондуктан дагы эле иштейт деп ойлошот. Ал дагы эле маанилүү башкаруу катары иштейби деп сурагандар азыраак.
Зыяндуу ачык булактуу пакеттер жана популярдуулук мифи
Ачык булактан көз карандылыкты башкаруу боюнча кеңири таралган ишеним - популярдуу долбоорлор коопсуз. Чындыгында, популярдуулук көп учурда таасирди жогорулатат. Кеңири колдонулган китепканалар үчүн жогорку баалуу бута болуп саналат ачык булактуу жеткирүү чынжырына кол салуулар, алдын алаcisанткени компромисс кеңири ылдыйкы таасирге алып келет.
Көптөгөн популярдуу долбоорлорду чакан топтор же жеке адамдар тейлейт. Көйгөйлөр аныкталган учурда да, зыяндуу ачык булактуу пакеттер көп учурда алынып салынганга чейин бир нече саат же күн бою жеткиликтүү бойдон калат. Ошол убакыттын ичинде уюмдар аларды автоматташтырылган курулмалар аркылуу жутуп алышат.
Бул кечигүү алдын алуу зарылдыгын күчөтөт software supply chain security көзөмөлдөө каражаттары. Заманбап программалык камсыздоону жеткирүү чынжырынын тобокелдигине туш болгондо, популярдуулукка, кадыр-баркка же каттоо иш-аракетине гана таянуу жетишсиз.
"Кеңири колдонулат" деген сөз "активдүү корголгон" деген сөз менен бирдей эмес жана аны ушундайча кароо жеткирүү чынжырындагы эң туруктуу туура эмес түшүнүктөрдүн бири болуп саналат.
Программалык камсыздоо чынжырларында жана жасалма интеллект коопсуздугунда келип чыгышы
Талкуу учурунда программалык камсыздоо чынжырларында келип чыгышына болгон муктаждык кайра-кайра пайда болду. Жасалма интеллект менен камсыздалган чөйрөлөрдө атрибуция бүдөмүк болуп калат. Код модель тарабынан түзүлүп, адам тарабынан өзгөртүлүп, автоматташтыруу аркылуу бириктирилип, так отчеттуулуксуз жайгаштырылышы мүмкүн.
Текшерилүүчү келип чыгышы жок болсо, уюмдар артефакттарга кыйыр түрдө ишенүүгө аргасыз болушат. Жасалма интеллект коопсуздугу ишенимден текшерүүгө өтүүнү талап кылат: кол коюлган артефакттар, build attestationsжана байкоого боло турган келип чыгышы. Келип чыгышы зыяндуу жүрүм-турумдун алдын албаса да, ал түшүнүксүздүктү бир топ азайтып, чабуулчунун маневр жасоо мүмкүнчүлүгүн чектейт.
Бул моделдерге, маалыматтарга жана кодго бирдей тиешелүү. Жасалма интеллектке негизделген программалык камсыздоону иштеп чыгууда, келип чыгышы жасалма интеллекттин да, программалык камсыздоонун да коопсуздугу үчүн негизги талап болуп саналат.
SBOM жана заманбап жасалма интеллект коопсуздугу Pipelines
Ролу SBOM жана жасалма интеллект коопсуздугу дагы бир кыйыр тема болгон. SBOMs көз карандылык графиктеринин көрүнүүсүн камсыз кылат, бирок көрүнүү гана жетишсиз. Жасалма интеллект көп колдонулган чөйрөлөрдө, SBOMs жөн гана китепканаларды эмес, моделдерди, курулуш кадамдарын жана автоматташтырылган деталдарды камтуу үчүн өнүгүшү керекcisиондор.
Менен айкалышканда жүрүм-турумду талдоо жана келип чыгышы, SBOM жана жасалма интеллект коопсуздугу программалык камсыздоо чынжырынын тобокелдигин азайтуу үчүн күчтүү куралга айланат. Алар уюмдарга күтүлбөгөн өзгөрүүлөрдү аныктоого, таасири жөнүндө ой жүгүртүүгө жана ачык булактуу камсыздоо чынжырынын чабуулдарына натыйжалуураак жооп берүүгө мүмкүндүк берет.
CI/CD Pipeline Security Автоматташтыруу басымы астында
акыр-аягы, CI/CD pipeline security критикалык башкаруу тегиздиги катары пайда болду. Pipelineжасалма интеллект системалары тарабынан сунушталган же ишке ашырылган аракеттерди барган сайын көбүрөөк аткарып жатышат. Эгер алар pipelineАларда күчтүү инсандыкты көзөмөлдөө, артефакттарды текшерүү жана саясатты аткаруу жок болгондуктан, алар чабуулчулар үчүн идеалдуу кирүү чекиттерине айланат.
Жетишсиз CI/CD pipeline security зыяндуу ачык булактуу пакеттерге өндүрүш системаларына гана эмес, иштеп чыгуучу чөйрөлөргө жана курулуш инфраструктурасына да таасир этүүгө мүмкүндүк берет. Автоматташтыруу көбөйгөн сайын, pipelineлар ичинде жогорку баалуу активдер катары каралышы керек software supply chain security программалар.
SafeDev баяндамасын көрүңүз
Бул түшүнүктөрдүн баары жөнүндө көбүрөөк маалымат алуу үчүн, тармакты калыптандырган практиктерден түз угуңуз SafeDev талкуусу: Ачык булак, жасалма интеллект жана жаңы чабуул бети: куралданган код, акылдуураак коргонуу, өзгөчөлөнгөн Роман Жуков (Кызыл шляпа), Леон Джонсон (TikTok), жана Луис Родригес Берзоса (Ксигени).
Жасалма интеллекттин коопсуздугу үчүн практикалык кесепеттери жана Software Supply Chain Security
Бул өзгөрүүлөрдүн практикалык кесепеттери куралдарды колдонуудан тышкары дагы кеңири таралган. Уюмдар жасалма интеллект коопсуздугу, жасалма интеллект жана программалык камсыздоонун коопсуздугу жана software supply chain security азыр терең чырмалышып калган. Деcisбир кезде аз тобокелдик деп эсептелген иондор, көз карандылыкты жаңыртуу, код түзүү жана автоматташтыруу азыр программалык камсыздоо чынжырынын маанилүү тобокелдигин алып жүрөт, айрыкча, аларcisиондор адамдар тарабынан ачык түрдө эмес, куралдар аркылуу кыйыр түрдө жасалат.
SafeDev баяндамасы учурунда бул жагдай кыскача баяндалды. Бир баяндамачы айткандай, ИИ системалары программалык камсыздоону иштеп чыгууга катышканда, коопсуздук топтору жөн гана коддун коопсуздугун камсыз кылбастан; алар маалыматтардын коопсуздугун камсыз кылышат.cisАвтоматташтыруу жоопкерчиликти алып салбайт, ал аны кайра бөлүштүрөт.
Иш жүзүндө бул ыңгайлуулук үстөмдүк кылган жерде ниеттүүлүктү калыбына келтирүү дегенди билдирет. Ачык булактан көз карандылыкты башкаруу адамдын ой жүгүртүүсүн кабыл алуунун ордуна, жасалма интеллект менен башкарылган жүрүм-турумду эске алышы керек. Көз карандылык тобокелдигин мындан ары мезгил-мезгили менен кайталанып туруучу карап чыгуу катары кароого болбойт.cise. CI/CD pipeline security текшерүүнү талап кылышы керек, зыянсыз киргизүүнү болжолдобошу керек. Ал эми программалык камсыздоо чынжырындагы келип чыгышы умтулуудан баштапкы абалга өтүшү керек.
Талкуудан алынган дагы бир түшүнүк, ылдамдыктын өзү мындан ары нейтралдуу эмес. Көпчүлүк жеткирүү чынжырындагы үзгүлтүктөр бир эле катастрофалык кырсыктан келип чыкпайт.cisион, бирок эч ким ачык бекитпеген көптөгөн кичинекей автоматташтырылган тандоолордон. Бул алдын алаcisЭмне үчүн салттуу ишеним моделдери жасалма интеллектке негизделген программалык камсыздоону иштеп чыгууда ийгиликсиз болот?
Мунун бири да ачык булактан же жасалма интеллекттен баш тартууну билдирбейт. Тескерисинче, бул алардын заманбап инженериядагы борбордук ролун моюнга алат. Бирок коопсуздук боюнча божомолдорду өнүктүрбөстөн, уюмдар автоматташтыруунун ишенимди демейки шартта аныктоосуна жол берүү коркунучуна кабылышат.
Жыйынтыктоо үчүн…
Бул өзгөрүү жөнүндө ойлонуунун пайдалуу жолу - бул software supply chain security мындан ары бир гана артефакттарды коргоо жөнүндө эмес. Бул коргоо жөнүндө decisион жолдоруЖасалма интеллекттин жардамы менен түзүлгөн дүйнөдө коопсуздуктун эң маанилүү суроолору "Бул компонент аялуубу?" гана эмес, "Бул эмне үчүн, ким тарабынан же эмне тарабынан жана кандай чектөөлөр менен киргизилген?". Бул алкакка ыңгайлашкан уюмдар тобокелдикти жок кылбайт, бирок ага анчалык деле таң калышпайт.
