Programu huria imekuwa msingi wa maendeleo ya programu za kisasa. Karibu kila programu leo inategemea mtandao tata wa maktaba, mifumo, mifumo, na zana za ujenzi za wahusika wengine. Ukweli huu pekee tayari unaleta umuhimu mkubwa. software supply chain security changamoto. Wakati huo huo, akili bandia imeingia maendeleo ya programu lifecycle kama kichocheo chenye nguvu, kinachozalisha msimbo, kinachopendekeza utegemezi, kurekebisha kiotomatiki, na hata kushawishi usanifucisioni. Kwa pamoja, chanzo huria na akili bandia (AI) vimebadilisha jinsi programu inavyojengwa, na, bila shaka, jinsi inavyoshambuliwa. Mkusanyiko wa usalama wa akili bandia, akili bandia na usalama wa programu, na software supply chain security si nadharia tena. Sasa ni mojawapo ya vyanzo vikuu vya hatari ya ugavi wa programu inayokabiliwa na mashirika ya uhandisi.
Ukweli huo uliunda SafeDev Talk yetu ya hivi karibuni: Chanzo Huria, AI na Uso Mpya wa Mashambulizi: Nambari ya Silaha, Ulinzi Nadhifu Zaidi, ikiwashirikisha viongozi wa usalama kutoka Red Hat, TikTok, na Xygeni. Majadiliano yalilenga kile ambacho timu za usalama na uhandisi tayari zinapitia katika mazingira ya uzalishaji, hasa kuhusu mashambulizi ya mnyororo wa usambazaji wa programu huria, vifurushi vya programu huria hasidi, na mvutano unaoongezeka kati ya kasi na udhibiti katika uundaji wa programu unaoendeshwa na AI. Kilichojitokeza kilikuwa picha wazi: uso wa mashambulizi unapanuka kwa kasi zaidi kuliko mifumo ya usalama ya jadi inavyoweza kuendelea, na AI inafanya kazi kama kizidishi nguvu na mtihani wa msongo wa mawazo ya muda mrefu katika usalama wa AI na software supply chain security.
Ikiwa maelezo haya yanahisi kuwa karibu sana na jinsi shirika lako linavyounda programu kwa sasa, hiyo si bahati mbaya. Timu nyingi hugundua tu ni kiasi gani uaminifu umebadilika na kuwa otomatiki baada ya kitu kuharibika.
Usalama wa AI na Software Supply Chain Security Je, Sasa Tatizo Lilelile?
Mada inayojirudia katika majadiliano yote ilikuwa kwamba usalama wa akili bandia hauwezi tena kuchukuliwa kama taaluma tofauti na software supply chain securityMifumo ya AI haifanyi kazi peke yake; imejengwa, imefunzwa, imesambazwa, na imeunganishwa kupitia hiyo hiyo pipelines, utegemezi, na sajili ambazo tayari zinapambana na mashambulizi ya mnyororo wa usambazaji huria.
Katika utengenezaji wa programu unaoendeshwa na akili bandia (AI), mifumo inapendekeza msimbo, hutoa marekebisho, na huchagua utegemezi kiotomatiki.cisioni huathiri moja kwa moja usimamizi wa utegemezi wa chanzo huria, mara nyingi bila nia dhahiri ya kibinadamu. Kwa hivyo, hatari ya utegemezi haiendeshwi tena na chaguo la msanidi programu pekee; inazidi kuumbwa na tabia ya AI.
Muunganiko huu unamaanisha kwamba hitilafu katika akili bandia na usalama wa programu mara nyingi hujitokeza kama matukio ya kawaida ya mnyororo wa usambazaji: utegemezi ulioathiriwa, mabaki ya ujenzi yaliyochafuliwa, au mazingira magumu CI/CD michakato. Uundaji wa vifaa unaweza kuwa mpya, lakini hatari ya mnyororo wa usambazaji wa programu ni halisi sana na inazidi kuwa vigumu kuifikiria.
Ikiwa mifumo yako ya vitisho bado inatenganisha "hatari ya AI" na "hatari ya mnyororo wa usambazaji," inaweza kuwa muhimu kupitia upya mahali ambapo mpaka huo upo katika mtiririko wako wa kazi wa ujenzi na uwasilishaji.
Mashambulizi ya Mnyororo wa Ugavi Huria kwa Kasi ya Mashine
Mashambulizi ya mnyororo wa ugavi huria si mapya, lakini AI hubadilisha uchumi wao. Washambuliaji hawahitaji mbinu mpya; wanahitaji kiwango. AI huwezesha uchanganuzi wa haraka wa mfumo ikolojia, ugunduzi otomatiki wa utegemezi dhaifu, na urudiaji wa haraka wa mizigo ya mashambulizi.
Kwa mtazamo wa mashambulizi, ukuaji huu wa viwanda wa upelelezi huongeza kwa kiasi kikubwa kiwango cha mafanikio ya mashambulizi yanayohusisha vifurushi vya programu huria zenye nia mbaya. Vipengele ambavyo hapo awali vingekuwa havijatambuliwa sasa vinaweza kugunduliwa, kuchanganuliwa, na kutumiwa vibaya haraka, mara nyingi kabla ya watetezi kugundua kuwa vinatumika.
Hii ni kwa nini software supply chain security Haiwezi kutegemea ishara zilizochelewa pekee. Usajili, ushauri, na ufichuzi wa baada ya ukweli hufanya kazi kulingana na nyakati za kibinadamu, huku washambuliaji wakizidi kufanya kazi kwa kasi ya mashine. Dirisha linalotokana na ufichuzi ni mchangiaji wa moja kwa moja katika hatari inayoongezeka ya mnyororo wa usambazaji wa programu.
Ikiwa ishara yako kuu ya kugundua ni "sajili imeondoa kifurushi," tayari unafanya kazi chini ya ratiba ya mshambuliaji.
Unataka Kuchunguza kwa Kina Mashambulizi ya Mnyororo wa Ugavi wa Programu Huria?
Hatari ya Utegemezi katika Ukuzaji wa Programu Zinazoendeshwa na AI
Mojawapo ya hatari zilizo wazi zaidi zilizojadiliwa wakati wa SafeDev Talk ilikuwa hatari ya utegemezi, haswa katika mazingira ambayo hutegemea sana ukuzaji wa programu unaoendeshwa na AI. Wasaidizi wa msimbo wa AI wameboreshwa kwa urahisi na kasi, sio kwa kupunguza uso wa shambulio.
Kwa vitendo, hii husababisha utangulizi mkali wa utegemezi. Maktaba mpya huongezwa badala ya kutumia tena utendaji uliopo, utegemezi wa mpito panua kimya kimya, na chanzo huria usimamizi wa utegemezi inakuwa tendaji badala ya kimakusudi. Baada ya muda, timu hupoteza uwezo wa kufikiria kuhusu kile wanachoendesha.
Hili si suala la usafi tu. Kila utegemezi mpya huanzisha hatari zaidi ya mnyororo wa usambazaji wa programu, dhana mpya za uaminifu, na fursa mpya za mashambulizi ya mnyororo wa usambazaji wa chanzo huria.cisioni hujiendesha kiotomatiki na kukaguliwa kijuujuu, hatari ya utegemezi inakuwa ya kimfumo badala ya ya bahati mbaya.
Ikiwa grafu yako ya utegemezi inakua kwa kasi zaidi kuliko uwezo wa timu yako kuelezea, hili si tatizo la zana; ni tatizo la uaminifu.
Wasaidizi wa Uandishi wa AI, Usalama, na Kuanguka kwa Mapitio
Hali nyingine ya kushindwa iliyojadiliwa ilikuwa mmomonyoko wa mapitio ya rika mbele ya msimbo uliozalishwa na AI. Wasaidizi wa uandishi wa AI, usalama sio tu kuhusu uingizaji wa haraka au matumizi mabaya ya modeli; ni kuhusu kiasi gani mantiki ambayo haijapitiwa inaingia katika mifumo ya uzalishaji.
Mabadiliko yanayotokana na akili bandia (AI) mara nyingi huwa makubwa, yanaeleweka, na ni vigumu kuyapitia chini ya shinikizo la wakati. Kwa hivyo, mapitio ya rika huwa ya kina kifupi au ya mfano. Kuanguka huku kimya kimya huondoa mojawapo ya vidhibiti bora zaidi katika software supply chain security.
Tatizo si uzembe wa msanidi programu. Ni upotoshaji wa mtiririko wa kazi. Kasi inapolipwa na msuguano kuadhibiwa, vidhibiti vya usalama wa AI na programu vinavyotegemea umakini wa binadamu hudhoofika bila shaka. Washambuliaji hawahitaji kupuuza ukaguzi ikiwa ukaguzi haufanyi kazi tena kama kizuizi.
Timu nyingi hudhani kuwa mapitio bado yanafanya kazi kwa sababu mchakato upo. Wachache huuliza kama bado yanafanya kazi kama udhibiti wenye maana.
Vifurushi vya Chanzo Huria Vibaya na Hadithi ya Umaarufu
Imani ya kawaida katika usimamizi wa utegemezi wa chanzo huria ni kwamba miradi maarufu ni salama zaidi. Kwa kweli, umaarufu mara nyingi huongeza uonekanaji. Maktaba zinazotumiwa sana ni shabaha zenye thamani kubwa kwa mashambulizi ya mnyororo wa usambazaji huria, kwaciskwa sababu maelewano yanaleta athari kubwa.
Miradi mingi maarufu hudumishwa na timu ndogo au watu binafsi. Hata matatizo yanapogunduliwa, vifurushi vya programu huria hasidi mara nyingi hubaki vinapatikana kwa saa au siku kabla ya kuondolewa. Wakati huo, mashirika yanaendelea kuvimeza kupitia miundo otomatiki.
Ucheleweshaji huu unaimarisha hitaji la kuchukua hatua za haraka software supply chain security vidhibiti. Kutegemea umaarufu, sifa, au hatua ya usajili pekee haitoshi wakati wa kukabiliana na hatari ya mnyororo wa usambazaji wa programu za kisasa.
"Inatumika sana" si sawa na "iliyolindwa kikamilifu," na kuichukulia hivyo ni mojawapo ya dhana potofu zinazoendelea zaidi za mnyororo wa ugavi.
Asili katika Minyororo ya Ugavi wa Programu na Usalama wa AI
Katika majadiliano yote, hitaji la chimbuko katika minyororo ya usambazaji wa programu liliibuka mara kwa mara. Katika mazingira yanayosaidiwa na AI, uainishaji unafifia. Msimbo unaweza kuzalishwa na modeli, kurekebishwa na mwanadamu, kuunganishwa na otomatiki, na kusambazwa bila uwajibikaji dhahiri.
Bila chimbuko linaloweza kuthibitishwa, mashirika yanalazimika kuamini mabaki bila kuficha. Usalama wa AI unahitaji mabadiliko kutoka kwa uaminifu hadi uthibitishaji: mabaki yaliyosainiwa, build attestations, na asili zinazoweza kufuatiliwa. Ingawa asili haizuii tabia mbaya moja kwa moja, hupunguza kwa kiasi kikubwa utata na hupunguza uwezo wa mshambuliaji kuweza kuingilia kati.
Hii inatumika sawa kwa mifumo, data, na msimbo. Katika ukuzaji wa programu unaoendeshwa na AI, chimbuko ni sharti la msingi kwa usalama wa AI na programu.
SBOM na Usalama wa AI katika Kisasa Pipelines
Jukumu la SBOM na usalama wa AI ulikuwa mada nyingine isiyo wazi. SBOMs hutoa mwonekano katika grafu za utegemezi, lakini mwonekano pekee hautoshi. Katika mazingira yenye akili bandia nyingi, SBOMlazima zibadilike ili kunasa sio maktaba tu, bali pia mifumo, hatua za ujenzi, na uundaji otomatiki wacisioni.
Ukichanganya na uchambuzi wa tabia na asili yake, SBOM na usalama wa AI huwa zana zenye nguvu za kupunguza hatari ya mnyororo wa usambazaji wa programu. Huruhusu mashirika kugundua mabadiliko yasiyotarajiwa, kufikiria kuhusu athari, na kujibu kwa ufanisi zaidi mashambulizi ya mnyororo wa usambazaji wa chanzo huria.
CI/CD Pipeline Security Chini ya Shinikizo la Otomatiki
Hatimaye, CI/CD pipeline security iliibuka kama ndege muhimu ya udhibiti. Pipelineinazidi kutekeleza vitendo vilivyopendekezwa au kusababishwa na mifumo ya akili bandia. Ikiwa hizo pipelineKwa kukosa udhibiti imara wa utambulisho, uthibitishaji wa mabaki, na utekelezaji wa sera, huwa sehemu bora za kuingia kwa washambuliaji.
Haitoshi CI/CD pipeline security huruhusu vifurushi vya programu huria hasidi kuathiri sio tu mifumo ya uzalishaji lakini pia mazingira ya wasanidi programu na kujenga miundombinu. Kadri otomatiki inavyoongezeka, pipelinelazima zichukuliwe kama mali zenye thamani kubwa ndani ya software supply chain security mipango.
Tazama Mazungumzo ya SafeDev
Ili kusikia zaidi kuhusu maarifa haya yote moja kwa moja kutoka kwa wataalamu wanaounda uwanja, tazama maelezo kamili Mazungumzo ya SafeDev: Chanzo Huria, AI na Uso Mpya wa Mashambulizi: Nambari ya Silaha, Ulinzi Nadhifu Zaidi, Akishirikiana na Roman Zhukov (Kofia Nyekundu), Leon Johnson (TikTok), na Luis Rodriguez Berzosa (Xygeni).
Athari za Kivitendo kwa Usalama wa AI na Software Supply Chain Security
Athari za vitendo za mabadiliko haya zinaenea zaidi ya uundaji wa zana. Mashirika lazima yatambue kwamba usalama wa AI, AI na usalama wa programu, na software supply chain security sasa zimeunganishwa kwa undani.cisioni ambazo hapo awali zilizingatiwa kuwa na hatari ndogo, masasisho ya utegemezi, utengenezaji wa msimbo, na otomatiki sasa zina hatari kubwa ya mnyororo wa usambazaji wa programu, haswa wakati zilecisioni hutengenezwa kwa njia isiyo dhahiri na vifaa badala ya watu kwa njia dhahiri.
Wakati wa Mazungumzo ya SafeDev, hoja hii ilifupishwa kwa ufupi. Kama mzungumzaji mmoja alivyosema, Mifumo ya akili bandia inaposhiriki katika uundaji wa programu, timu za usalama hazihifadhi tu msimbo; zinahifadhicisioni. Otomatiki haiondoi uwajibikaji; inausambaza upya.
Kwa vitendo, hii ina maana ya kurejesha nia pale ambapo urahisi umechukua nafasi. Usimamizi wa utegemezi wa chanzo huria lazima uzingalie tabia inayoendeshwa na akili bandia badala ya kuchukua maamuzi ya kibinadamu. Hatari ya utegemezi haiwezi tena kuchukuliwa kama jaribio la ukaguzi wa mara kwa mara.cise. CI/CD pipeline security lazima itekeleze uthibitishaji, si kudhania kuwa kuna pembejeo zisizo na madhara. Na chimbuko katika minyororo ya usambazaji wa programu lazima lihame kutoka kwenye matarajio hadi msingi.
Ufahamu mwingine kutoka kwa mjadala ulikuwa kwamba kasi yenyewe si ya upande wowote tena. Kushindwa kwa mnyororo wa ugavi mwingi hakutokani na janga mojacisioni, lakini kutokana na chaguo nyingi ndogo za kiotomatiki ambazo hakuna mtu aliyezikubali waziwazi. Hii ni kablacisKwa nini mifumo ya uaminifu ya kitamaduni hushindwa chini ya uundaji wa programu unaoendeshwa na akili bandia (AI).
Hakuna hata moja kati ya haya linalomaanisha kuachana na chanzo huria au AI. Kinyume chake, inatambua jukumu lao kuu katika uhandisi wa kisasa. Lakini bila dhana za usalama zinazobadilika, mashirika yana hatari ya kuruhusu otomatiki kufafanua uaminifu kwa chaguo-msingi.
Kuhitimisha…
Njia muhimu ya kufikiria kuhusu mabadiliko haya ni kwamba software supply chain security sio tena kuhusu kulinda vitu vya kale pekee. Ni kuhusu kulinda decisnjia za ioniKatika ulimwengu unaosaidiwa na AI, maswali muhimu zaidi ya usalama si tu "Je, kipengele hiki kiko hatarini?" bali "Kwa nini hii ilianzishwa, na nani au nini, na chini ya vikwazo gani?" Mashirika yanayozoea muundo huu hayataondoa hatari, lakini hayatashangazwa sana nayo.
