Tamin'ny 23 sy 24 Septambra, nizara tanàna roa sy vondrom-piarahamonina OWASP roa ny ekipa Xygeni mba hiresaka momba ny Fiarovana ny Fampiharana AI: OWASP AppSec Days Portugal any Porto sy Hetsika fiarovana AI an'ny OWASP ao Karlsruhe, Alemana.
Firenena samihafa, vahoaka samihafa, fanontaniana mitovy saika isaky ny resaka: "Aiza marina no tena anampian'ny AI amin'ny fiarovana ny fampiharana, ary aiza ho aiza no maha-marika vaovao azy fotsiny amin'ireo fitaovana efa tonta?"
Ity no famintinanay izay renay, izay nahagaga anay, ary ny valiny nomenay.
TL, DR
Efitrano OWASP roa, firenena roa, fanontaniana iray: aiza marina no anampian'ny AI amin'ny fiarovana ny fampiharana? Tany Porto sy Karlsruhe, tsy nanontany ireo mpitsabo raha hampiasa ny AI na tsia. Nanontany izy ireo hoe iza amin'ireo AI ao amin'ny AppSec stack no tena miasa, ary iza no miaro ny AI mihitsy.
- ASPM mbola hevitra vaovao ho an'ny ekipa maro izany. Tao Porto, maro ireo mpitsabo no mbola tsy niara-niasa tamin'ny Application Security Posture Management sehatra, na dia tsapan'izy ireo aza ny olana voavahany isan'andro: fitaovana be loatra, fanairana be loatra.
- ASPM ary "AI" SAST"tsy mitovy ireo. Mahita lesoka amin'ny kaody ny scanning. ASPM manapa-kevitra hoe iza amin'ireo zavatra hita, avy amin'ny fitaovana rehetra ampiasainao, no tena mendrika ny fotoananao.
- Ny fandaminana sy ny fanarenana amin'ny alalan'ny artifisialy (AI) no nahaliana indrindra. "Tena marina ve ity? Maika toy inona? Sarotra toy inona ny manamboatra azy?" no fanontaniana tian'ny ekipa rehetra hovaliana ho azy, isaky ny misy zavatra hita ary avy amin'ny scanner tsirairay.
- Tombony tokony ho azo antoka ny AI ankehitriny, fa tsy fitaovana ampiasaina fotsiny. Rakitra fanentanana, mpizara MCP, fikirakirana ny agent toy ny
.mcp/servers.jsonary ny mari-pahaizana momba ny AI dia anisan'ny fanafihana, araka ny nambaran'ny fampielezan-kevitra CHAINDROP telo herinandro talohan'ny zava-nitranga. - Zava-dehibe any Eoropa ny fiandrianam-pirenena. Niverimberina foana ny fampiasana AI amin'ny fotodrafitrasanao manokana, miaraka amin'ny modelyo manokana.
Tanàna roa, resaka iray momba ny fiarovana ny fampiharana AI
In Porto, Agustín Sánchez (Fiarovana ny fampiharana manerantany & Mpanolotsaina Dev AI azo antoka) sy Marcos Martin (Injeniera DevSecOps) nandany roa andro tao amin'ny Booth 12 tao amin'ny Fundação António Cupertino de Miranda. In Karlsruhe, George Nissim (Senior Solutions Engineer) dia niditra tao amin'ny vondrom-piarahamonina OWASP tao amin'ny IHK Haus der Wirtschaft nandritra ny iray andro izay nifantoka mafy tamin'ny fiarovana ny AI.
Feno mpitsabo ireo efitrano: mpamorona rindrambaiko, injeniera AppSec, mpitarika DevSecOps. Olona manombana amin'ny alalan'ny fitsapana, fa tsy amin'ny famakiana slides. Izany no nahatonga ny resaka ho maranitra kokoa sy nahasoa kokoa ho anay.
Fanontaniana 1: "Inona marina no ASPM? "
Nipoitra tsy tapaka tao Porto izany, ary mendrika valiny mazava.
ASPM (Application Security Posture Management) no sosona mamadika ny zavatra hita avy amin'ny fitaovana fiarovana rehetra ho modely risika iray. Efa mampiasa scanner maromaro ny ankamaroan'ny fikambanana: ny iray ho an'ny kaody, ny iray ho an'ny fiankinan-doha, ny iray ho an'ny tsiambaratelo, angamba ny iray hafa ho an'ny fotodrafitrasa ho kaody. Samy mamokatra ny lisitra misy azy avy izy ireo, ny ambaratongan'ny hamafiny, ny azy manokana. dashboardNy vokany dia fampandrenesana an'arivony maro ary tsy nisy valiny iraisana ho an'ilay fanontaniana tokana manan-danja: inona no amboarintsika voalohany?
ASPM mamaly izany fanontaniana izany. Maka ny zavatra hita avy amin'ny scanner teratany sy avy amin'ny fitaovana avy amin'ny antoko fahatelo, mampifandray azy ireo, ary manome laharam-pahamehana azy ireo amin'ny risika tena izy fa tsy amin'ny hamafin'ny olana. Raha vaovao amin'ny sokajy ianao, ny torolàlana ho an'ny inona ASPM dia ary nahoana no zava-dehibe izany dia fiaingana tsara.
Ny hevi-dehibe ho an'ny ekipa ao amin'ny efitrano: ASPM tsy mitaky fanoloana izay efa ampiasainao. Ny stack efa misy anao no lasa input.
Is ASPM mitovy amin'ny AI SAST?
Tsia. Nahita olana ny scan. ASPM manapa-kevitra hoe inona avy ireo olana mendrika ny fotoananao.
| lafiny | Fijerena (SAST miaraka amin'ny AI) | ASPM |
|---|---|---|
| Valio ny fanontaniana | Misy lesoka ve ato amin'ity kaody ity? | Amin'izay rehetra hitanay, inona no zava-dehibe indrindra? |
| sehatra | Karazana fikarohana iray: kaody loharano | Karazana fikarohana rehetra, avy amin'ny fitaovana rehetra |
| Izay ahafahan'ny AI manampy | Mamantatra, manazava ary manamboatra lesoka amin'ny kaody, eo amin'ny IDE | Fizarana, fanomezana laharam-pahamehana ary fanarenana manerana ny portfolio manontolo |
| Fivoahana | hita | A modely risika laharam-pahamehana ary filaharana fanamboarana |
Raha afohezina: mahita olana ny scan; ASPM manapa-kevitra hoe inona avy ireo olana mendrika ny fotoananao. Mila azy roa ianao, ary matanjaka kokoa izy ireo miaraka, satria mitovy ny sosona AI ampiasaina amin'izay hitan'ny scanner an'ny Xygeni sy izay hitan'ny fitaovanao hafa. Raha mila fijery mivelatra kokoa momba ny tsena, jereo ny fampitahana ny ambony ASPM fitaovana ho an'ny taona 2026.
Fanontaniana 3: "Ahoana no ampiasan'ny Xygeni ny fiarovana ny fampiharana AI?"
Eto no tena nibahana lalina ny resaka. Ny valinteninay: Tsy eo ny AI ao amin'ny Xygeni mba hamoronana fanairana bebe kokoa. Eo izy io mba hanesorana ny tabataba sy hanakatona ny asa. Asa efatra mivaingana manodidina ny fiarovana ny fampiharana AI:
1. Famakafakana ny AI: tena misy ve ity zavatra hita ity?
Ho an'ny zavatra hita tsirairay, Famakafakana ny AI Mamaly fanontaniana telo: diso ve ny valiny, maika ve izany raha jerena ny tena fiantraikany, ary sarotra ny fanamboarana (mandeha ho azy, ezaka tanana antonony, sa ezaka tanana be). Miasa amin'ny zavatra hita tamin'ny Xygeni sy amin'ny zavatra hita avy amin'ny scanner avy amin'ny antoko fahatelo izy io.
2. Fanazavana momba ny AI: ahoana no fomba hampiasan'ny mpanafika ity?
Raha tokony ho laharana CWE sy famaritana ankapobeny, dia mahazo ny lalan'ny fanararaotana feno ireo mpamorona rindrambaiko: ny fomba ahafahana manararaotra ny fahalemena sy ny fomba fanamarinana azy. Izany no mahasamihafa ny tapakila mijanona ao anaty backlog sy ny iray amboarina.
3. Fanamboarana AI: amboary nefa tsy manimba ny fanamboarana
Manolotra fanamboarana voamarina ho an'ny kaody sy ny fotodrafitrasa araka ny kaody i Xygeni, izay natao tsy hanimba ny fananganana. Ny tanjona dia ny hahazoana tapakila vitsy kokoa, fa tsy tapakila voasoratra tsara kokoa.
4. DevAI: fiarovana ao anatin'ny IDE, tsy misy bitsika
DevAI Miasa mavitrika amin'ny VS Code, IntelliJ, Cursor ary Windsurf. Tsy miandry ny mpamorona rindrambaiko hanontany izy. Mahita ny fahalemena amin'ny kaody nosoratan'olombelona sy novokarin'ny AI izy rehefa soratana, manazava ny fomba hanararaotan'ny mpanafika azy ireo, ary manolotra fanamboarana eo no ho eo.
Fanontaniana 4: “Ary iza no miaro ny AI mihitsy?”
Nandeha nivantana teto i Karlsruhe, ary nanaraka azy i Porto.
Ireo mpanampy amin'ny kaody AI, ireo agents, ary ireo mpizara MCP dia tafiditra ao anatin'ny tontolo fampandrosoana rehetra ankehitriny. Izy ireo dia fehezin'ny rakitra lahatsoratra tsotra (rakitra fahaiza-manao, rakitra fitsipika, bitsika, fikirakirana MCP) izay mahazo commitnojerena sy nojerena toy ny antontan-taratasy. Na izany aza, manova mangina izay asaina ataon'ny mpanampy AI sy izay azony tratrarina izy ireo. Mamaritra ireo risika ireo ao amin'ny Ireo fandrahonana 10 ambony indrindra amin'ny fiarovana ny AI.
The ROJOKA fampielezan-kevitra tamin'ny Aogositra 2026 dia naneho ny dikan'izany amin'ny fampiharana. Nisy kankana miparitaka ho azy niditra an-tsokosoko tao anaty fonosana npm an-jatony izay mitentina mihoatra ny 1.3 lavitrisa fisintomana isam-bolana, miaraka amin'ny mpijinja fahazoan-dàlana izay mikendry Fahazoan-dàlana ho an'ny mpanampy AI anisan'ireo lamina an-jatony hafa. Tsy nisy CVE nomena nandritra ny fitrandrahana mavitrika. Tsy nisy zavatra tokony hiandrasana. Mitovy amin'ilay lamina arahintsika isan-kerinandro ao amin'ny lamina voamarinay izany. fonosana npm ratsy fanahy hitany.
Ny Xygeni AI Security dia miatrika ity sosona ity amin'ny dingana telo:
- nahita: lisitra mivantana an'ny fananana AI rehetra manerana ny tahiry misy anao (modely, frameworks, datasets, agents, MCP servers, skills, prompts, guardrails ary ireo fitaovana fanoratana kaody AI ampiasaina), natsangana avy amin'ny kaody, ny fiankinan-doha ary ireo rakitra fikirakirana avelan'ny fitaovana AI. Tsy misy fanadihadiana, tsy misy tatitra manokana. Ireto ny nahoana ny fikarohana no voalohany.
- Map: an AI-BOM ary grafika fifandraisana mampiseho hoe iza no miantso ny fitaovana inona ary iza no mpizara MCP mipetraka ao ambadiky ny mpanampy iza. Ny risika dia mipetraka ao amin'ny tariby, fa tsy ao amin'ny fananana tokana.
- Mamantatra: tsindrona haingana sy ireo risika mifandraika amin'izany amin'ny kaody sy ny fikirakirana, voasokajy amin'ny OWASP Top 10 ho an'ny fampiharana LLM, miaraka amin'ny rakitra sy andalana marina. Miampy ny fahazoan-dàlana mpamatsy AI hita ao amin'ny rakitra fandrindrana prompt sy agent, ary ny fiankinan-doha AI-stack ratsy tratra MEW, ny motera malware anay izay mamantatra ireo fonosana manimba alohan'ny hisian'ny sonia.
Raha hijery ny sary feno, vakio Fanazavana momba ny fiarovana AI ary ny mpitari-dalana anay Fiarovana ny rojo famatsiana AI.
Fanontaniana 5: “Afaka mijanona ao amin'ny fotodrafitrasako ve ny kaody-ko?”
Ao amin'ny efitrano Eoropeana, ity fanontaniana ity dia mipoitra foana. Ho an'ny ekipa maro, ny fiarovana ny fampiharana AI dia miasa raha toa ka manaja ny fiandrianam-pirenen'ny angon-drakitra ny AI. Eny ny valiny: Miasa amin'ny maha SaaS ny Xygeni, on-premises, hybrid, na air-gapped. Ianao no mifidy ny modely (OpenAI, Anthropic, Gemini, Groq, Azure AI Foundry, AWS Bedrock, na ny API mifanaraka aminao manokana), tsy miala amin'ny tontolo iainanao ny kaody anao, ary ianao no mifehy ny vidin'ny AI.
miaraka Adidy amin'ny tatitra momba ny Lalàna momba ny Faharetan'ny Aterineto velona nanomboka tamin'ny 11 Septambra 2026 (24 ora handefasana fampitandremana mialoha momba ny fahalemena iray izay ampiasaina mavitrika), ny fahafantarana haingana ny tena loza mety hitranga aminao dia fepetra takian'ny lalàna ankehitriny, fa tsy zavatra tsara fotsiny.
Izay nentinay nody
Lesona telo avy amin'ny herinandro iray sy efitrano OWASP roa:
- Mialoha ny voambolana ny tsena. Mahatsapa ny ekipa ASPM olana (fitaovana be loatra, fampandrenesana be loatra) alohan'ny hahafantaran'izy ireo ny anaran'ny sokajy. Ny fanazavana azy mazava tsara dia zava-dehibe kokoa noho ny fanomezana anarana azy.
- Ireo mpitsabo dia maniry ny hanana AI izay mampiato ny asa. Nandresy ny "fitadiavana ampiasain'ny AI" ny triage sy ny fanarenana tamin'ny resaka rehetra.
- Tombony tokony ho azo antoka ny AI ankehitriny, fa tsy fitaovana ampiasaina fotsiny. Ny fanontaniana momba ny fanisana entana ("AI inona marina no ampiasaintsika?") dia iray amin'ireo fanontaniana mbola tsy voavalin'ny ankamaroan'ny ekipa. Izany koa no fiandohan'ny olana lehibe rehetra. AI fitantanana risika fandaharana.
Misaotra betsaka ireo vondrom-piarahamonina OWASP Portugal sy OWASP Germany, ireo mpikarakara, ary izay rehetra nandalo teto mba hiresaka. Mandra-pihaona amin'ny manaraka.
Nalahelo anay tany Porto na Karlsruhe ve ianao?
Jereo ny fomba hampihenana ny tsy fahampian'ny tahiry ao amin'ny fitaovanao amin'ny alàlan'ny triage sy ny fanarenana AI. Manomboka maimaim-poana: tafiditra ao anatin'ny andro voalohany ny fitadiavana malware alohan'ny hisian'ny sonia. Te hahita ny fiarovana AI sy ASPM miasa amin'ny stack-nao manontolo? Talk miaraka amin'ilay ekipa izay ho nihaonanao tao amin'ny tranoheva.
FAQ
Inona ny fahasamihafana ASPM sy SAST?
SAST mijery ny kaody loharano mba hahitana ireo lesoka. ASPM manangona ny zavatra hita avy amin'ny SAST ary ny fitaovana fiarovana hafa rehetra, dia mampifandray azy ireo, ary mametraka azy ireo amin'ny laharam-pahamehana araka ny risika tena izy, mba hahafantaran'ny ekipa izay tokony hamboarina voalohany.
Miasa amin'ny zavatra hita avy amin'ny fitaovana hafa ve ny triage AI?
Eny, miaraka amin'ny Xygeni. Ny AI Triage, Explication ary Remediation dia mihatra amin'ny zavatra hitan'i Xygeni manokana sy amin'ny zavatra hita avy amin'ny scanner an'ny antoko fahatelo toa an'i Snyk, Veracode ary Checkmarx.
Inona no atao hoe AI-BOM?
Ny AI Bill of Materials dia mirakitra ireo singa AI ao amin'ny rindrambaikonao: modely, angon-drakitra, agents, mpizara MCP, prompts ary guardrails, ary ny fomba ifandraisan'izy ireo.
Afaka miasa ve ny AI an'i Xygeni? on-premises?
Eny. Manohana i Xygeni on-premises, hybrid, ary fametrahana air-gapped, miaraka amin'ny modely AI safidinao.
