Burimi i hapur është bërë themeli i zhvillimit modern të softuerëve. Pothuajse çdo aplikacion sot mbështetet në një rrjet kompleks bibliotekash, kornizash, modelesh dhe mjetesh ndërtimi të palëve të treta. Vetëm ky realitet prezanton tashmë ndryshime të rëndësishme. software supply chain security sfidat. Në të njëjtën kohë, inteligjenca artificiale ka hyrë në cikli i jetes se zhvillimit te softverit si një përshpejtues i fuqishëm, duke gjeneruar kod, duke sugjeruar varësi, duke automatizuar rregullimet dhe madje duke ndikuar në zhvillimin arkitektonik.cisjoneve. Së bashku, burimi i hapur dhe inteligjenca artificiale kanë transformuar mënyrën se si ndërtohet softueri dhe, në mënyrë të pashmangshme, si sulmohet ai. Kryqëzimi i sigurisë së inteligjencës artificiale, inteligjencës artificiale dhe sigurisë së softuerit, dhe software supply chain security nuk është më teorik. Tani është një nga burimet mbizotëruese të rrezikut të zinxhirit të furnizimit të softuerëve me të cilin përballen organizatat inxhinierike.
Ky realitet krijoi kontekstin e bisedës sonë të fundit në SafeDev: Burimi i Hapur, IA dhe Sipërfaqja e Re e Sulmit: Kod i Armatosur, Mbrojtje më të Mençura, duke përfshirë liderë të sigurisë nga Red Hat, TikTok dhe Xygeni. Diskutimi u përqendrua në atë që ekipet e sigurisë dhe inxhinierisë po përjetojnë tashmë në mjediset e prodhimit, veçanërisht rreth sulmeve të zinxhirit të furnizimit me burim të hapur, paketave dashakeqe me burim të hapur dhe tensionit në rritje midis shpejtësisë dhe kontrollit në zhvillimin e softuerëve të drejtuar nga IA. Ajo që doli në pah ishte një pamje e qartë: sipërfaqja e sulmit po zgjerohet më shpejt sesa mund të përballojnë modelet tradicionale të sigurisë, dhe IA po vepron si një shumëzues force dhe si një test stresi për supozimet e vjetra në sigurinë dhe... software supply chain security.
Nëse ky përshkrim duket paksa i ngjashëm me mënyrën se si organizata juaj aktualisht ndërton softuer, kjo nuk është rastësi. Shumë ekipe e kuptojnë se sa shumë besim është zhvendosur te automatizimi vetëm pasi diçka prishet.
Siguria e IA-së dhe Software Supply Chain Security Tani janë i njëjti problem
Një temë e përsëritur gjatë gjithë diskutimit ishte se siguria e inteligjencës artificiale nuk mund të trajtohet më si një disiplinë e veçantë nga software supply chain securitySistemet e inteligjencës artificiale nuk funksionojnë të izoluara; ato ndërtohen, trajnohen, vendosen dhe integrohen përmes të njëjtit pipelines, varësi dhe regjistra që tashmë përballen me sulmet e zinxhirit të furnizimit me burim të hapur.
Në zhvillimin e softuerëve të drejtuar nga inteligjenca artificiale, modelet sugjerojnë kod, gjenerojnë rregullime dhe zgjedhin varësi automatikisht. Këto decisjonet ndikojnë drejtpërdrejt menaxhimi i varësisë me burim të hapur, shpesh pa qëllim të qartë njerëzor. Si rezultat, rreziku i varësisë nuk drejtohet më vetëm nga zgjedhja e zhvilluesit; ai formësohet gjithnjë e më shumë nga sjellja e IA-së.
Kjo konvergjencë do të thotë që dështimet në inteligjencën artificiale dhe sigurinë e softuerit shpesh manifestohen si incidente tradicionale të zinxhirit të furnizimit: varësi të kompromentuara, objekte të dëmtuara të ndërtimit ose elementë të cenueshëm. CI/CD proceset. Mjetet mund të jenë të reja, por rreziku i zinxhirit të furnizimit të softuerëve është shumë real dhe gjithnjë e më i vështirë për t'u arsyetuar.
Nëse modelet tuaja të kërcënimeve ende e ndajnë "rrezikun e inteligjencës artificiale" nga "rreziku i zinxhirit të furnizimit", mund të ia vlejë të rishikoni se ku ekziston në të vërtetë ky kufi në rrjedhat e punës së ndërtimit dhe implementimit.
Sulme në Zinxhirin e Furnizimit me Burim të Hapur me Shpejtësinë e Makinës
Sulmet ndaj zinxhirit të furnizimit me burim të hapur nuk janë të reja, por inteligjenca artificiale ndryshon ekonominë e tyre. Sulmuesit nuk kanë nevojë për teknika të reja; ata kanë nevojë për shkallëzim. Inteligjenca artificiale mundëson analizë të shpejtë të ekosistemit, zbulim të automatizuar të varësive të dobëta dhe përsëritje të shpejtë të ngarkesave të sulmit.
Nga një këndvështrim ofensiv, ky industrializim i zbulimit rrit ndjeshëm shkallën e suksesit të sulmeve që përfshijnë paketa dashakeqe me burim të hapur. Komponentët që më parë do të kishin kaluar pa u vënë re tani mund të zbulohen, analizohen dhe shfrytëzohen shpejt, shpesh përpara se mbrojtësit të kuptojnë se janë në përdorim.
Kjo është arsyeja pse software supply chain security nuk mund të mbështeten vetëm në sinjale të vonuara. Regjistrat, këshillat dhe zbulimet post-facto funksionojnë në afate kohore njerëzore, ndërsa sulmuesit veprojnë gjithnjë e më shumë me shpejtësinë e makinës. Dritarja e ekspozimit që rezulton është një kontribues i drejtpërdrejtë në rritjen e rrezikut të zinxhirit të furnizimit të softuerëve.
Nëse sinjali juaj kryesor i zbulimit është "regjistri e hoqi paketën", ju tashmë jeni duke vepruar në rrjedhën e poshtme të afatit kohor të sulmuesit.
Dëshironi të zhyteni në sulmet e zinxhirit të furnizimit me softuer me burim të hapur?
Rreziku i Varësisë në Zhvillimin e Softuerit të Drejtuar nga IA-ja
Një nga rreziqet më të qarta të diskutuara gjatë SafeDev Talk ishte rreziku i varësisë, veçanërisht në mjediset që mbështeten shumë në zhvillimin e softuerëve të drejtuar nga IA. Asistentët e kodimit të IA-së janë të optimizuar për komoditet dhe shpejtësi, jo për minimizimin e sipërfaqes së sulmit.
Në praktikë, kjo çon në futjen e varësive agresive. Shtohen librari të reja në vend që të ripërdoren funksionalitetet ekzistuese, varësi kalimtare zgjerohet në heshtje dhe me burim të hapur menaxhimi i varësisë bëhet reaktive në vend të qëllimshme. Me kalimin e kohës, ekipet humbasin aftësinë për të arsyetuar rreth asaj që po përdorin në të vërtetë.
Ky nuk është thjesht një çështje higjiene. Çdo varësi e re sjell rrezik shtesë në zinxhirin e furnizimit me softuer, supozime të reja besimi dhe mundësi të reja për sulme në zinxhirin e furnizimit me burim të hapur. Kur varësia...cisjonet automatizohen dhe rishikohen sipërfaqësisht, rreziku i varësisë bëhet sistemik dhe jo aksidental.
Nëse grafiku juaj i varësisë po rritet më shpejt se aftësia e ekipit tuaj për ta shpjeguar atë, ky nuk është një problem mjetesh; është një problem besimi.
Asistentët e Kodimit të IA-së, Siguria dhe Rënia e Rishikimit
Një tjetër mënyrë dështimi e diskutuar ishte erozioni i rishikimit nga kolegët në prani të kodit të gjeneruar nga IA. Asistentët e kodimit të IA-së, siguria nuk ka të bëjë vetëm me injektimin e shpejtë ose keqpërdorimin e modelit; ka të bëjë me sasinë e logjikës së parishikuar që hyn në sistemet e prodhimit.
Ndryshimet e gjeneruara nga inteligjenca artificiale janë shpesh të mëdha, koherente dhe të vështira për t'u shqyrtuar nën presionin e kohës. Si rezultat, shqyrtimi nga kolegët bëhet sipërfaqësor ose simbolik. Ky shembje e qetë heq një nga kontrollet më efektive në software supply chain security.
Problemi nuk është neglizhenca e zhvilluesit. Është mospërputhja e rrjedhës së punës. Kur shpejtësia shpërblehet dhe mospërputhja penalizohet, kontrollet e sigurisë së inteligjencës artificiale dhe softuerit që varen nga vëmendja njerëzore dobësohen në mënyrë të pashmangshme. Sulmuesit nuk kanë nevojë ta anashkalojnë shqyrtimin nëse shqyrtimi nuk funksionon më si pengesë.
Shumë ekipe supozojnë se shqyrtimi ende funksionon sepse procesi ekziston. Më pak veta pyesin nëse ai ende funksionon si një kontroll kuptimplotë.
Paketat keqdashëse me burim të hapur dhe miti i popullaritetit
Një besim i zakonshëm në menaxhimin e varësive nga burimi i hapur është se projektet popullore janë më të sigurta. Në realitet, popullariteti shpesh rrit ekspozimin. Bibliotekat e përdorura gjerësisht janë objektiva me vlerë të lartë për sulmet e zinxhirit të furnizimit me burim të hapur, përcisthjesht sepse kompromisi sjell ndikim të gjerë në rrjedhën e poshtme.
Shumë projekte të njohura mirëmbahen nga ekipe të vogla ose individë të vetëm. Edhe kur zbulohen probleme, paketat me burim të hapur keqdashës shpesh mbeten të disponueshme për orë ose ditë para se të hiqen. Gjatë kësaj kohe, organizatat vazhdojnë t'i përthithin ato përmes ndërtimeve automatike.
Kjo vonesë përforcon nevojën për veprim proaktiv software supply chain security kontrollet. Mbështetja vetëm te popullariteti, reputacioni ose veprimi i regjistrit është e pamjaftueshme kur përballemi me rrezikun e zinxhirit të furnizimit të softuerëve modernë.
"Përdoret gjerësisht" nuk është e njëjta gjë me "mbrohet në mënyrë aktive" dhe trajtimi i saj si i tillë është një nga keqkuptimet më të vazhdueshme të zinxhirit të furnizimit.
Origjina në Zinxhirët e Furnizimit me Softuer dhe Sigurinë e IA-së
Gjatë gjithë diskutimit, nevoja për origjinë në zinxhirët e furnizimit me softuerë u shfaq vazhdimisht. Në mjediset e ndihmuara nga inteligjenca artificiale, atribuimi bëhet i paqartë. Kodi mund të gjenerohet nga një model, të modifikohet nga një njeri, të bashkohet nga automatizimi dhe të vendoset pa llogaridhënie të qartë.
Pa një prejardhje të verifikueshme, organizatat detyrohen t'u besojnë artefakteve në mënyrë implicite. Siguria e inteligjencës artificiale kërkon një zhvendosje nga besimi drejt verifikimit: artefakte të nënshkruara, build attestationsdhe origjina të gjurmueshme. Ndërsa origjina nuk e parandalon plotësisht sjelljen keqdashëse, ajo zvogëlon ndjeshëm paqartësinë dhe kufizon manovrimin e sulmuesit.
Kjo vlen njësoj për modelet, të dhënat dhe kodin. Në zhvillimin e softuerëve të drejtuar nga inteligjenca artificiale, prejardhja është një kërkesë themelore si për sigurinë e inteligjencës artificiale ashtu edhe për sigurinë e softuerit.
SBOM dhe Siguria e IA-së në Modernitet Pipelines
Roli i SBOM dhe siguria e inteligjencës artificiale ishte një tjetër temë e nënkuptuar. SBOMs ofrojnë dukshmëri në grafikët e varësisë, por vetëm dukshmëria nuk është e mjaftueshme. Në mjedise me shumë inteligjencë artificiale, SBOMduhet të evoluojnë për të kapur jo vetëm bibliotekat, por edhe modelet, hapat e ndërtimit dhe zhvillimin e automatizuar.cisjoneve.
Kur kombinohen me analiza e sjelljes dhe prejardhja, SBOM dhe siguria e inteligjencës artificiale bëhen mjete të fuqishme për uljen e rrezikut të zinxhirit të furnizimit me softuer. Ato u lejojnë organizatave të zbulojnë ndryshime të papritura, të arsyetojnë rreth ndikimit dhe të reagojnë në mënyrë më efektive ndaj sulmeve të zinxhirit të furnizimit me burim të hapur.
CI/CD Pipeline Security Nën presionin e automatizimit
Së fundi, CI/CD pipeline security u shfaq si një plan kritik kontrolli. Pipelineekzekutojnë gjithnjë e më shumë veprime të sugjeruara ose të nxitura nga sistemet e inteligjencës artificiale. Nëse ato pipelineMeqenëse nuk kanë kontrolle të forta identiteti, verifikim të artefakteve dhe zbatim të politikave, ato bëhen pika hyrëse ideale për sulmuesit.
I papërshtatshëm CI/CD pipeline security lejon që paketat me burim të hapur keqdashës të ndikojnë jo vetëm në sistemet e prodhimit, por edhe në mjediset e zhvilluesve dhe të ndërtojnë infrastrukturë. Ndërsa automatizimi rritet, pipelineduhet të trajtohen si asete me vlerë të lartë brenda software supply chain security programe.
Shikoni bisedën e SafeDev
Për të dëgjuar më shumë rreth të gjitha këtyre njohurive direkt nga praktikuesit që formësojnë fushën, shikoni të plotë Biseda e SafeDev: Burimi i Hapur, IA dhe Sipërfaqja e Re e Sulmit: Kod i Armatosur, Mbrojtje më të Mençura, duke shfaqur Roman Zhukov (Red Hat), Leon Johnson (TikTok)dhe Luis Rodríguez Berzosa (Xygeni).
Implikime praktike për sigurinë e inteligjencës artificiale dhe Software Supply Chain Security
Implikimet praktike të këtyre ndryshimeve shtrihen përtej mjeteve. Organizatat duhet të pranojnë se siguria e inteligjencës artificiale, siguria e inteligjencës artificiale dhe e softuerëve, dhe software supply chain security tani janë thellësisht të ndërthurura. Decisjonet që dikur konsideroheshin me risk të ulët, përditësimet e varësive, gjenerimi i kodit dhe automatizimi tani mbartin rrezik domethënës të zinxhirit të furnizimit të softuerëve, veçanërisht kur ato decisJonet prodhohen në mënyrë implicite nga mjetet dhe jo në mënyrë të qartë nga njerëzit.
Gjatë SafeDev Talk, kjo pikë u përmblodh shkurt. Siç e tha një folës, Kur sistemet e inteligjencës artificiale marrin pjesë në zhvillimin e softuerëve, ekipet e sigurisë nuk po sigurojnë më vetëm kodin; ato po sigurojnë...cisjonet. Automatizimi nuk e heq përgjegjësinë; ai e rishpërndan atë.
Në praktikë, kjo do të thotë rivendosja e qëllimshmërisë aty ku komoditeti ka mbizotëruar. Menaxhimi i varësisë nga burimi i hapur duhet të marrë në konsideratë sjelljen e drejtuar nga inteligjenca artificiale në vend që të supozojë shqyrtimin njerëzor. Rreziku i varësisë nuk mund të trajtohet më si një ushtrim i rastësishëm rishikimi.cise. CI/CD pipeline security duhet të zbatojë verifikimin, jo të supozojë të dhëna të mira. Dhe prejardhja në zinxhirët e furnizimit me softuer duhet të kalojë nga aspirata në nivelin bazë.
Një tjetër përfundim nga diskutimi ishte se shpejtësia në vetvete nuk është më neutrale. Shumica e dështimeve të zinxhirit të furnizimit nuk vijnë nga një defekt i vetëm katastrofik.cision, por nga shumë zgjedhje të vogla automatike që askush nuk i miratoi në mënyrë të qartë. Kjo është paraprakishtcisJa pse modelet tradicionale të besimit dështojnë nën zhvillimin e softuerëve të drejtuar nga inteligjenca artificiale.
Asnjë nga këto nuk nënkupton braktisjen e burimit të hapur ose inteligjencës artificiale. Përkundrazi, kjo njeh rolin e tyre qendror në inxhinierinë moderne. Por pa evoluar supozimet e sigurisë, organizatat rrezikojnë të lejojnë automatizimin të përcaktojë besimin si parazgjedhje.
Për të përfunduar…
Një mënyrë e dobishme për të menduar për këtë ndryshim është që software supply chain security nuk ka më të bëjë vetëm me mbrojtjen e artefakteve. Ka të bëjë me mbrojtjen decisshtigjet e joneveNë një botë të ndihmuar nga inteligjenca artificiale, pyetjet më të rëndësishme të sigurisë nuk janë vetëm "A është ky komponent i cenueshëm?", por edhe "Pse u prezantua kjo, nga kush ose çfarë, dhe nën çfarë kufizimesh?" Organizatat që përshtaten me këtë kornizë nuk do ta eliminojnë rrezikun, por do të habiten shumë më pak prej tij.
