Зөвхөн 2024 онд Хиймэл оюун ухаан 256 тэрбум мөр код бичсэн... Үүнийг ойлгоорой. Дагуу Статистик, Бүх s-ийн 41%програм хангамжийн код одоо хиймэл оюун ухаанаар үүсгэгдсэн код болсонЭнэ тоо зөвхөн өсөж байгаа бөгөөд эрсдэлүүд ч мөн адил.
Хиймэл оюун ухааны код хурдан. Заримдаа хэтэрхий хурдан байдаг. Бид одоо нэгийг харж байна Ил гарсан хэмжээ 10 дахин нэмэгдсэн API төгсгөл үндсэн зөвшөөрөл болон оролтын баталгаажуулалт дутмаг. Гол нь энд байна: муу хиймэл оюун ухааны код нь зүгээр нэг удаагийн алдаа биш юм. Хэрэв энэ нь нээлттэй эхийн репозиторт орвол энэ нь ... болно. ирээдүйн хиймэл оюун ухааны загваруудад зориулсан сургалтын өгөгдөл, эдгээр эмзэг байдлыг улам бүр түгээж байна.
Тэгэхээр бид юу хийж чадах вэ? Бид мөр бүрийг баталгаажуулдаг—хүн эсвэл машин— сканнердаж, аюулгүй болгосон.
Энэ бол хиймэл оюун ухаан юм SAST орж ирдэгLLM, Copilot болон автомат жолоодлогын кодчилолын эрин үед ажиллаж буй хөгжүүлэгчдэд зориулан бүтээгдсэн статик програмын аюулгүй байдлын тест.
Хиймэл оюун ухаанаар үүсгэгдсэн кодын асуудал юу вэ?
Хиймэл оюун ухаанаар үүсгэгдсэн код сайн харагддаг. Энэ нь эмхэтгэгддэг. Энэ нь ажилладаг. Энэ нь бүр тайлбартай ирдэг. Гэхдээ далд утгаараа энэ нь ихэвчлэн алгасдаг:
- Authentication болон хандалтын хяналт
- Оролтын баталгаажуулалт ба ариутгал
- Нууцыг зохицуулах (жишээ нь, хатуу кодлогдсон жетонууд)
- Алдаа зохицуулах болон захын тохиолдлын логик
- Номын сан болон API-г аюулгүй ашиглах
Энэ нь хиймэл оюун ухаан хортой учраас биш юм - энэ нь зүгээр л таны аюул заналын загварыг ойлгодоггүй. Мөн үүнийг урьд өмнөхөөсөө илүү их ашиглаж байгаа бөгөөд ихэвчлэн ямар ч хяналтгүйгээр ашиглаж байна.
Хиймэл оюун ухааны кодын эмзэг байдлын бодит жишээ
Copilot үүнийг Express.js аппликейшн дээр үүсгэдэг гэж бодъё:
Чи ойлгох хүртлээ сайхан харагдаж байна байдаг оролтын баталгаажуулалт эсвэл ариутгал байхгүй. Үйлдвэрлэлийн нөхцөлд, энэ бол хурдан зам XSS or тарилгын эмзэг байдал.
AI гэж юу вэ SAST?
AI SAST хиймэл оюун ухааныг өөрөө аюулгүй болгох тухай биш. Энэ нь аюулгүй болгох тухай юм AI код — үүсгэгдэж, хуулбарлагдаж, буулгагдаж буй зүйлс болон commitтаны апп руу холбогдсон.
Энэ нь уламжлалт шиг ажилладаг SAST: ажиллуулахаасаа өмнө эх кодыг сканнердаж, эмзэг байдлыг тэмдэглэж, засвар санал болгодог. Гэхдээ энэ нь орчин үеийн, хиймэл оюун ухааны тусламжтайгаар хийгдсэн ажлын урсгал юм.
Зарим платформууд хэв маягийн танилтыг сайжруулж, хуурамч эерэг үр дүнг бууруулахын тулд хиймэл оюун ухаан болон машины тоглоомыг туршиж байна. Гэхдээ энд бидний анхаарал энгийн байна: хиймэл оюун ухааны хэрэгслүүдээр бичигдсэн кодыг аюулгүй болгохын тулд статик шинжилгээг ашиглах.
Үүнийг бодит байдлын шалгалт гэж бодоорой. Учир нь "энэ нь эмхэтгэгддэг" гэдэг нь "аюулгүй" гэсэнтэй адил биш юм.
Хиймэл оюун ухаан хэрхэн SAST Ажлын урсгалд тань хиймэл оюун ухааны кодыг хадгалдаг
Xygeni Code Security орчин үеийн хөгжүүлэлтийн орчинд зориулан бүтээгдсэн бөгөөд хурдан, автоматжуулсан бөгөөд таны хэрэгслийн сүлжээнд холбогдсон.
Та авах:
- Уугуул хүн SAST сканер таны кодын баазын бодит цагийн статик шинжилгээнд зориулагдсан
- Дэмжлэг үзүүлэх хортой код илрүүлэлт эх кодонд
- Үл үзэгдэх гуравдагч талын сканнерын интеграци—тиймээс та түгжигдэхгүй эсвэл шилжихээс өөр аргагүй болно
SonarQube, Snyk, Checkmarx эсвэл Veracode ашиглаж байна уу? Асуудалгүй—Xygeni нь өөрсдийн олдворуудыг импортлож, бүх зүйлийг нэг дор төвлөрүүлж чадна dashboard. Энэ нь илүү сайн харагдах байдал, илүү ухаалаг эрэмбэлэлт, давхардсан хүчин чармайлт гаргахгүй байх гэсэн үг юм - ялангуяа урьдчилан таамаглах аргагүй эрсдэлтэй тулгарч байх үед AI код.
Xygeni консолын дотор талд
Дараа нь Code Security → Эрсдэлүүд (SAST) мөн та харах болно:
- Бүх кодын эмзэг байдал - Xygeni болон гуравдагч талын
- Шугамын түвшний асуудлын дэлгэрэнгүй мэдээлэл болон засах зөвлөгөө
- Хүндрэл, хэрэгсэл болон ажлын урсгалын алхамаар шүүлтүүрдэх
- Хортой кодын нотолгоо
- Өөрчлөн тохируулсан дүрмийг дэмждэг тул та үүнийг өөрийн кодын санд тохируулж болно
Доод шугам: Энэ нь танд зүгээр л "ямар нэгэн зүйл буруу байна" гэж хэлээд зогсохгүй юу, хаана, яагаад гэдгийг, мөн үүнийг хэрхэн засахыг харуулж байна.
Хэрэглэх мэргэжлийн зөвлөмжүүд SAST Хиймэл оюун ухаанаар хүндрүүлсэн төслүүдэд
Хиймэл оюун ухааныг хэрхэн хамгийн их ашиглах талаар энд оруулав SAST урсгалд чинь саад учруулахгүйгээр:
- Үүнийг бүтээхдээ алдаа гаргахаар тохируулна уу хэрэв өндөр/чухал асуудлууд илэрсэн бол.
PR дээр скан хийх, зөвхөн шөнийн эсвэл долоо хоног тутмын бүтээн байгуулалт биш. - Хосолсон SAST нууц сканнердах болон IaC илрүүлэх бүрэн стекийн хамрах хүрээний хувьд.
- Хиймэл оюун ухааны үндсэн хэсгүүдийг шалгах—ялангуяа auth, файлын I/O, эсвэл DB хандалттай холбоотой аливаа зүйл.
- Юуг ч үл тоомсорло—апп хэрхэн хөгжиж байгаагаас хамааран бага зэргийн асуудлууд ч хурдан нэмэгдэж болно.
Богино: SAST Секси биш ч гэсэн үр дүнтэй
Хар даа, бид бүгд хурдан тээвэрлэлт хийхийг хүсдэг. Гэхдээ аюулгүй байдалгүйгээр хурдан тээвэрлэлт бол зөрчил хэрхэн гардаг вэ гэдэг нь юм. AI SAST бол таны зам алдаа гаргахгүйгээр хурдаа нэмэгдүүлээрэй.
Энэ бол паранойд байх тухай биш. Энэ бол практик байх тухай юм.
Хэрэгслүүдийг ашиглаарай. Сканнердах ажиллагааг автоматжуулна уу. Хиймэл оюун ухааны кодыг гуравдагч талын код шиг харьцаюулгүй гэдэг нь батлагдах хүртэл итгэлгүй.
Таны хиймэл оюун ухаанаар үүсгэгдсэн код юу нуугдаж байгааг харахад бэлэн үү?
14 хоногийн үнэгүй туршилтыг эхлүүлэх – Кредит картгүй. Дуу чимээгүй. Зүгээр л цэвэрхэн, найдвартай код.
