Развивачот го отвора IDE-то, опишува што сака на едноставен англиски јазик и гледа како агент на вештачка интелигенција ја пишува функцијата за времето потребно за да добие кафе. Таа се компајлира. Поминува рачно кликнување. Се испорачува. Никој не праша дали е безбедно, бидејќи никој не праша многу за ништо. Прашањето го замени pull request, и „функционира“ го замени „го прегледав“. Тоа е вибрационо кодирање и повеќе не е маргинална навика. Така се пишува сè поголем дел од продукцискиот код, од професионални тимови, а не само од хобисти кои експериментираат со апликација за викенд. И токму затоа безбедноста во вибрационото кодирање стана тема на разговор што ја води секој лидер во инженерството и безбедноста, без разлика дали веќе го именувале или не.
Што всушност значи „виб кодирање“
Виб кодирањето е развој на софтвер каде што лицето го опишува посакуваниот резултат на природен јазик, а модел на вештачка интелигенција, или агент изграден врз основа на него, го генерира работниот код. Лицето управува според резултатот („изгради login „flow“, „додај CSV извоз“) наместо со пишување или ред по ред преглед на имплементацијата. Терминот се здоби со популарност бидејќи доловува нешто реално: развивачот се потпира на вибрацијата дека резултатот е точен, а не на читање на самиот код.
Таа промена е целата приказна. Прегледот на кодот порано беше контролна точка вградена во начинот на пишување на софтверот. Кодирањето со вибрации го заобиколува тоа по дизајн. Брзината се зголемува. Навиката да се прашува „што всушност прави ова“ се намалува.
Зошто „функционира“ е погрешна лента
„Функционира“ значи дека кодот го направил она што било побарано, во сценариото што било тестирано. Не кажува ништо за тоа што прави кодот во сценарија за кои никој не прашал: погрешно формиран влез, автентициран корисник кој испитува крајна точка која премногу му верувала, зависност што никогаш не била проверена, хардкодирана тајна што стои на видно место. Тука се распаѓа безбедноста на вибрационото кодирање пред некој дури и да забележи дека има проблем.
Моделите за кодирање со вештачка интелигенција се обучени да произведуваат функционален излез што одговара на намерата на промптот. Безбедноста не е целната функција. Модел што се оптимизира за „ова го задоволува барањето“ со задоволство ќе генерира барање изградено со спојување на низи наместо параметри, крајна точка без контрола на пристап бидејќи промптот никогаш не споменувал кој не треба да има пристап или API повик што верува во одговор што треба да го потврди. Се компајлира. Функционира. Исто така, воведува исти класи на ранливости за кои тимовите на AppSec поминаа една деценија обучувајќи ги програмерите, генерирани со темпо со кое не е изграден никаков процес на рачен преглед за да се совпадне.
Внатрешното истражување на код генериран од вештачка интелигенција ги става реалните бројки зад интуицијата: значаен дел од она што го произведуваат алатките за агентско кодирање содржи експлоатирачки безбедносен пропуст при првото поминување, пред да се случи каков било преглед. Тоа не е дефект во еден модел. Тоа е очекуваниот резултат од оптимизацијата за „работи“, а не „издржува“, и тоа е токму јазот што безбедноста на кодирањето мора да го пополни.
Површината на ризик е поширока од самиот код
Кодирање на вибрации безбедноста често се толкува како проблем со квалитетот на кодот, но изложеноста поминува низ целиот работен процес агентот допира, не само функцијата што ја пишува:
Зошто традиционалните алатки на AppSec заостануваат тука
Повеќето алатки за безбедност на апликациите беа изградени околу ритам: кодот се пишува, потоа се скенира, во CI или во PR. Тој ритам претпоставува дека постои стабилен артефакт направен од човек кон кој треба да се насочи скенерот и дека обемот на промена е нешто што... pipeline може намерно да разгледува.
Кодирањето на вибрации го нарушува времето, а тој временски јаз е сржта на безбедносниот проблем со кодирањето на вибрации. Кодот се менува во IDE за секунди, честопати пред да достигне точка. pull requestСкенер кој работи само во CI го открива проблемот откако ќе се спои небезбедниот образец, кој е веќе дел од следната карактеристика на која некој друг гради. А скенер кој го третира кодот генериран од вештачка интелигенција исто како и секој друг код, ги пропушта деловите од ризикот кои се специфични за тоа како е напишан: пакетот што го избрал агентот без да биде замолен да го оправда, датотеката со инструкции што му кажала на агентот што да прави пред човекот воопшто да види разлика.
Што всушност ја затвора празнината
Организациите што го надминуваат ова не го забавуваат вибрационото кодирање. Тие вградуваат вистинска безбедност за вибрационо кодирање во работниот процес: го враќаат контролниот пункт таму каде што всушност е напишан кодот и го третираат кодот генериран од вештачка интелигенција како недоверлив влез сè додека не се докаже спротивното:
- Скенирајте во IDE, не само во CI. Фаќањето на несигурен шаблон додека агентот сè уште ја генерира функцијата е различен проблем од неговото фаќање откако од него зависат уште три функции.
- Валидирајте ја секоја зависност што ја воведува агентот, на ист начин како што би потврдиле нешто што го напишал рачно програмерот, пред да се инсталира.
- Третирајте ги конфигурациските датотеки што ги чита агентот како код, а не како документација. Датотеките со правила, датотеките со вештини и конфигурациите на MCP серверот можат да содржат инструкции што го менуваат она што го прави агентот и тие заслужуваат иста контрола како и кодот што го произведува агентот.
- Известувај човек за поправката, не само за знамето. Развивач кој може да види зошто нешто е експлоатирачко, а не само дека активирало правило, всушност учи да поттикнува и прегледува поинаку следниот пат.
- Да претпоставиме дека „функционира“ никогаш не било безбедносна лентаи да ја направите самата лента видлива во работниот тек, наместо да ја оставите во меморијата.
Каде што се вклопува Xygeni
Ова е токму шевот Xygeni's DevAI беше изграден за да се затвори. DevAI работи како континуиран безбедносен слој во рамките на IDE, гледајќи го човечки напишан и генериран од вештачка интелигенција код додека се произведува, а не откако ќе слета во pull requestНе чека на барање: означува експлоатирачки шеми, го објаснува вистинскиот пат на нападот на едноставен јазик и предлага решение што развивачот може да го разгледа и примени без да го напушти својот тек. Од страната на синџирот на снабдување, MEW (Рано предупредување за малициозен софтвер) фаќа злонамерни пакети пред да постои потпис, што е директно важно овде, бидејќи агент кој избира зависност во ваше име е токму моментот кога небрежен или компромитиран пакет ќе си најде начин да влезе.
Под обете, CoreAI ги поврзува она што се наоѓа низ базата на кодови, зависностите и pipeline во еден приоритетен поглед на ризикот, и тој поглед не е ограничен на Ксигени сопствени скенирања. Истото важи и за Тријажа со вештачка интелигенција, објаснување и санација на наоди од други скенери кои веќе се поставени, па затоа обезбедувањето на вибрационо кодирање не значи отстранување на стек кој веќе работи. Тоа значи ставање слој врз него кој конечно се движи со брзината со која се пишува кодот сега.
NAJČESTO POSTAVUVANI PRAŠANJA
Дали виб кодирањето е по природа небезбедно?
Не. Виб кодирањето е метод на развој, а не ранливост. Ризикот доаѓа од прескокнување на чекорот за преглед што се користеше за откривање на небезбедни шеми, а не од користење на вештачка интелигенција за пишување код на прво место. Затоа безбедноста на виб кодирањето е дисциплина на работниот тек, а не причина да се избегнува оваа практика.
Може да постои SAST or SCA Алатките ги фаќаат безбедносните ризици од кодирање на Vibe?
Тие го фаќаат дел од него, но обично откако кодот веќе ќе се спои, бидејќи повеќето работат во CI, а не во IDE каде што се генерира кодот. Тие исто така обично не го оценуваат сопственото однесување на AI агентот, како што се пакетите што ги избира или конфигурациските датотеки што ги чита.
Кое е единственото решение со највисока ефикасност за безбедноста при кодирање на Vibe?
Преместете ги безбедносните проверки во IDE, на моментот на генерирање, наместо да се потпирате само на подоцнежна pipeline скенирање. Откривањето на проблем пред да стане дел од следните три функции изградени врз него е различен проблем од неговото откривање подоцна.
Дали обезбедувањето на вибрационо кодирање значи забавување на програмерите?
Не ако проверката се случи во линија, во IDE, со објаснување и готова поправка. Целта е да се задржат брзите вибрации на кодирањето, а воедно да се врати проценката што порано ја обезбедуваше рачниот преглед.
