திறந்த மூல மென்பொருள் நவீன மென்பொருள் உருவாக்கத்தின் அடித்தளமாக மாறியுள்ளது. இன்று ஏறக்குறைய ஒவ்வொரு பயன்பாடும் மூன்றாம் தரப்பு நூலகங்கள், கட்டமைப்புகள், மாதிரிகள் மற்றும் உருவாக்கக் கருவிகளின் ஒரு சிக்கலான வலைப்பின்னலைச் சார்ந்துள்ளது. இந்த யதார்த்தம் மட்டுமே குறிப்பிடத்தக்க சவால்களை அறிமுகப்படுத்துகிறது. software supply chain security சவால்கள். அதே நேரத்தில், செயற்கை நுண்ணறிவு நுழைந்துள்ளது. மென்பொருள் மேம்பாட்டு வாழ்க்கை சுழற்சி ஒரு சக்திவாய்ந்த முடுக்கியாக, குறியீட்டை உருவாக்குதல், சார்புகளைப் பரிந்துரைத்தல், பிழைத்திருத்தங்களைத் தானியங்குபடுத்துதல், மற்றும் கட்டமைப்பு வடிவமைப்புகளில் கூட செல்வாக்கு செலுத்துதல் போன்ற பணிகளைச் செய்கிறது.cisஅயனிகள். திறந்த மூல மென்பொருளும் செயற்கை நுண்ணறிவும் இணைந்து, மென்பொருள் உருவாக்கப்படும் விதத்தையும், தவிர்க்க முடியாமல், அது தாக்கப்படும் விதத்தையும் மாற்றியமைத்துள்ளன. செயற்கை நுண்ணறிவுப் பாதுகாப்பு, செயற்கை நுண்ணறிவு மற்றும் மென்பொருள் பாதுகாப்பு ஆகியவற்றின் சந்திப்பு, மற்றும் software supply chain security இது இனி கோட்பாட்டு ரீதியானது அல்ல. பொறியியல் நிறுவனங்கள் எதிர்கொள்ளும் மென்பொருள் விநியோகச் சங்கிலி அபாயத்தின் முக்கிய ஆதாரங்களில் ஒன்றாக இது இப்போது விளங்குகிறது.
அந்த யதார்த்தமே எங்களின் சமீபத்திய SafeDev Talk-க்கு அடித்தளமிட்டது: திறந்த மூல மென்பொருள், செயற்கை நுண்ணறிவு மற்றும் புதிய தாக்குதல் பரப்பு: ஆயுதமாக்கப்பட்ட குறியீடு, மேம்பட்ட பாதுகாப்புகள்இதில் ரெட் ஹேட், டிக்டாக் மற்றும் சைஜெனி நிறுவனங்களின் பாதுகாப்புத் தலைவர்கள் கலந்துகொண்டனர். உற்பத்திச் சூழல்களில் பாதுகாப்பு மற்றும் பொறியியல் குழுக்கள் ஏற்கனவே சந்தித்துவரும் பிரச்சனைகள், குறிப்பாக ஓப்பன் சோர்ஸ் விநியோகச் சங்கிலித் தாக்குதல்கள், தீங்கிழைக்கும் ஓப்பன் சோர்ஸ் தொகுப்புகள், மற்றும் செயற்கை நுண்ணறிவால் இயக்கப்படும் மென்பொருள் உருவாக்கத்தில் வேகத்திற்கும் கட்டுப்பாட்டிற்கும் இடையே அதிகரித்து வரும் பதற்றம் ஆகியவை குறித்து இந்தக் கலந்துரையாடல் கவனம் செலுத்தியது. வெளிப்பட்ட தெளிவான சித்திரம் இதுதான்: பாரம்பரியப் பாதுகாப்பு மாதிரிகளால் ஈடுகொடுக்க முடியாத அளவுக்குத் தாக்குதல் பரப்பு வேகமாக விரிவடைந்து வருகிறது, மேலும் செயற்கை நுண்ணறிவு (AI) பாதுகாப்பில் உள்ள நீண்டகால அனுமானங்களுக்கு, அது ஒரு சக்திப் பெருக்கியாகவும் அழுத்தச் சோதனையாகவும் செயல்படுகிறது. software supply chain security.
இந்த விளக்கம், உங்கள் நிறுவனம் தற்போது மென்பொருளை உருவாக்கும் முறைக்குச் சங்கடமான வகையில் நெருக்கமாக இருப்பதாக உங்களுக்குத் தோன்றினால், அது தற்செயலானதல்ல. ஏதேனும் ஒன்று பழுதடைந்த பின்னரே, தானியக்கத்தின் மீது நம்பிக்கை எந்த அளவிற்கு மாறியுள்ளது என்பதைப் பல குழுக்கள் உணர்கின்றன.
செயற்கை நுண்ணறிவு பாதுகாப்பு மற்றும் Software Supply Chain Security இப்போது அதே பிரச்சனைதான்
செயற்கை நுண்ணறிவுப் பாதுகாப்பை இனி ஒரு தனிப்பட்ட துறையாகக் கருத முடியாது என்பதே, இந்த விவாதம் முழுவதும் மீண்டும் மீண்டும் வலியுறுத்தப்பட்ட ஒரு கருத்தாக இருந்தது. software supply chain securityசெயற்கை நுண்ணறிவு அமைப்புகள் தனித்து இயங்குவதில்லை; அவை ஒரே அமைப்பின் மூலமாகவே கட்டமைக்கப்பட்டு, பயிற்சி அளிக்கப்பட்டு, நிறுவப்பட்டு, ஒருங்கிணைக்கப்படுகின்றன. pipelineஏற்கனவே திறந்த மூல விநியோகச் சங்கிலித் தாக்குதல்களால் சிரமப்படும் சார்புநிலைகள் மற்றும் பதிவகங்கள்.
செயற்கை நுண்ணறிவு சார்ந்த மென்பொருள் உருவாக்கத்தில், மாதிரிகள் தானாகவே குறியீட்டைப் பரிந்துரைக்கின்றன, பிழைத்திருத்தங்களை உருவாக்குகின்றன, மற்றும் சார்புநிலைகளைத் தேர்ந்தெடுக்கின்றன.cisஅயனிகள் நேரடியாக பாதிக்கின்றன திறந்த மூல சார்பு மேலாண்மைபெரும்பாலும் வெளிப்படையான மனித நோக்கம் இல்லாமலேயே இது நிகழ்கிறது. இதன் விளைவாக, சார்புநிலை அபாயம் என்பது இனி டெவலப்பரின் தேர்வை மட்டும் சார்ந்திருப்பதில்லை; அது பெருகிய முறையில் செயற்கை நுண்ணறிவின் நடத்தையால் வடிவமைக்கப்படுகிறது.
இந்த ஒருங்கிணைப்பின் காரணமாக, செயற்கை நுண்ணறிவு மற்றும் மென்பொருள் பாதுகாப்பில் ஏற்படும் தோல்விகள், பெரும்பாலும் சமரசம் செய்யப்பட்ட சார்புநிலைகள், களங்கப்பட்ட உருவாக்கக் கலைப்பொருட்கள் அல்லது பாதிப்புக்குள்ளாகக்கூடிய பாரம்பரிய விநியோகச் சங்கிலி நிகழ்வுகளாக வெளிப்படுகின்றன. CI/CD செயல்முறைகள். கருவிகள் புதியதாக இருக்கலாம், ஆனால் மென்பொருள் விநியோகச் சங்கிலி அபாயம் மிகவும் உண்மையானது மற்றும் அதைப் பற்றி பகுத்தறிவது பெருகிய முறையில் கடினமாகி வருகிறது.
உங்கள் அச்சுறுத்தல் மாதிரிகள் இன்னும் “செயற்கை நுண்ணறிவு அபாயத்தையும்” “விநியோகச் சங்கிலி அபாயத்தையும்” பிரித்துக் காட்டினால், உங்கள் உருவாக்கம் மற்றும் வரிசைப்படுத்தல் பணிப்பாய்வுகளில் அந்த எல்லை உண்மையில் எங்கே இருக்கிறது என்பதை மறுபரிசீலனை செய்வது பயனுள்ளதாக இருக்கும்.
திறந்த மூல விநியோகச் சங்கிலி இயந்திர வேகத்தில் தாக்குகிறது
திறந்த மூல விநியோகச் சங்கிலித் தாக்குதல்கள் புதியவை அல்ல, ஆனால் செயற்கை நுண்ணறிவு அவற்றின் பொருளாதாரத்தை மாற்றுகிறது. தாக்குபவர்களுக்குப் புதுமையான நுட்பங்கள் தேவையில்லை; அவர்களுக்குத் தேவைப்படுவது பெரிய அளவிலான செயல்பாடுகள். செயற்கை நுண்ணறிவு, விரைவான சூழலமைப்புப் பகுப்பாய்வு, பலவீனமான சார்புகளைத் தானியங்கி முறையில் கண்டறிதல் மற்றும் தாக்குதல் சுமைகளில் வேகமான தொடர் மேம்பாடுகளைச் சாத்தியமாக்குகிறது.
தாக்குதல் கண்ணோட்டத்தில், இந்த உளவுப் பணியின் தொழில்மயமாக்கல், தீங்கிழைக்கும் திறந்த மூல மென்பொருட்களை உள்ளடக்கிய தாக்குதல்களின் வெற்றி விகிதத்தை வியத்தகு முறையில் அதிகரிக்கிறது. முன்பு கவனிக்கப்படாமல் இருந்த கூறுகளை, இப்போது தற்காப்பாளர்கள் அவை பயன்பாட்டில் இருப்பதை உணரும் முன்பே, விரைவாகக் கண்டறிந்து, பகுப்பாய்வு செய்து, பயன்படுத்திக்கொள்ள முடிகிறது.
இதனால்தான் software supply chain security தாமதமான சமிக்ஞைகளை மட்டும் நம்பி இருக்க முடியாது. பதிவேடுகள், ஆலோசனைகள் மற்றும் நிகழ்வுக்குப் பிந்தைய வெளிப்படுத்தல்கள் ஆகியவை மனித கால அளவுகளில் செயல்படுகின்றன, ஆனால் தாக்குதல் நடத்துபவர்கள் பெருகிய முறையில் இயந்திர வேகத்தில் செயல்படுகின்றனர். இதன் விளைவாக ஏற்படும் பாதிப்புக் காலம், வளர்ந்து வரும் மென்பொருள் விநியோகச் சங்கிலி அபாயத்திற்கு நேரடியாகப் பங்களிக்கிறது.
“பதிவகம் தொகுப்பை நீக்கிவிட்டது” என்பதே உங்களின் முதன்மைக் கண்டறிதல் சமிக்ஞையாக இருந்தால், நீங்கள் ஏற்கனவே தாக்குபவரின் காலவரிசைக்குக் கீழ்நிலையில் செயல்படுகிறீர்கள்.
திறந்த மூல மென்பொருள் விநியோகச் சங்கிலித் தாக்குதல்கள் குறித்து ஆழமாக அறிந்துகொள்ள விரும்புகிறீர்களா?
செயற்கை நுண்ணறிவு சார்ந்த மென்பொருள் உருவாக்கத்தில் சார்புநிலை இடர்
சேஃப்டெவ் டாக் (SafeDev Talk) நிகழ்வின் போது விவாதிக்கப்பட்ட மிகத் தெளிவான அபாயங்களில் ஒன்று சார்புநிலை அபாயம் ஆகும்; குறிப்பாக, செயற்கை நுண்ணறிவு சார்ந்த மென்பொருள் உருவாக்கத்தை பெரிதும் நம்பியிருக்கும் சூழல்களில் இது காணப்பட்டது. செயற்கை நுண்ணறிவு குறியீட்டு உதவியாளர்கள், தாக்குதல் பரப்பைக் குறைப்பதற்காக அல்ல, மாறாக வசதி மற்றும் வேகத்திற்காகவே உகந்ததாக்கப்பட்டுள்ளன.
நடைமுறையில், இது தீவிரமான சார்புநிலை அறிமுகத்திற்கு வழிவகுக்கிறது. ஏற்கனவே உள்ள செயல்பாடுகளை மீண்டும் பயன்படுத்துவதற்குப் பதிலாக, புதிய நூலகங்கள் சேர்க்கப்படுகின்றன. கடப்பு சார்புகள் அமைதியாக விரிவாக்குங்கள், மற்றும் திறந்த மூல மென்பொருள் சார்பு மேலாண்மை இது திட்டமிட்ட செயலாக இல்லாமல், எதிர்வினையின் விளைவாக மாறுகிறது. காலப்போக்கில், குழுக்கள் தாங்கள் உண்மையில் என்ன செயல்படுத்திக் கொண்டிருக்கிறார்கள் என்பதைப் பற்றி பகுத்தறியும் திறனை இழக்கின்றன.
இது வெறும் சுகாதாரப் பிரச்சினை மட்டுமல்ல. ஒவ்வொரு புதிய சார்புநிலையும் கூடுதல் மென்பொருள் விநியோகச் சங்கிலி அபாயத்தையும், புதிய நம்பிக்கை அனுமானங்களையும், திறந்த மூல விநியோகச் சங்கிலித் தாக்குதல்களுக்கான புதிய வாய்ப்புகளையும் அறிமுகப்படுத்துகிறது. சார்புநிலைகள் அதிகரிக்கும்போது,cisசெயல்பாடுகள் தானியங்குபடுத்தப்பட்டு மேலோட்டமாக மதிப்பாய்வு செய்யப்படுவதால், சார்புநிலை அபாயம் தற்செயலானதாக இல்லாமல் அமைப்பு சார்ந்ததாக மாறுகிறது.
உங்கள் சார்புநிலை வரைபடம், அதை விளக்கும் உங்கள் குழுவின் திறனை விட வேகமாக வளர்ந்து கொண்டிருந்தால், இது கருவி சார்ந்த பிரச்சனை அல்ல; இது நம்பிக்கை சார்ந்த பிரச்சனை.
செயற்கை நுண்ணறிவு குறியீட்டு உதவியாளர்கள், பாதுகாப்பு மற்றும் மதிப்பாய்வின் சரிவு
செயற்கை நுண்ணறிவால் உருவாக்கப்பட்ட குறியீடு இருக்கும்போது, சக மதிப்பாய்வு சிதைவடைவது மற்றொரு தோல்வி முறையாக விவாதிக்கப்பட்டது. செயற்கை நுண்ணறிவு குறியீட்டு உதவியாளர்களைப் பொறுத்தவரை, பாதுகாப்பு என்பது உடனடித் தரவுச் செருகல் அல்லது மாதிரித் தவறான பயன்பாடு மட்டுமல்ல; அது, மதிப்பாய்வு செய்யப்படாத தர்க்கம் எந்த அளவிற்கு உற்பத்தி அமைப்புகளுக்குள் நுழைகிறது என்பதைப் பற்றியதுமாகும்.
செயற்கை நுண்ணறிவால் உருவாக்கப்படும் மாற்றங்கள் பெரும்பாலும் பெரியதாகவும், சீரானதாகவும், கால நெருக்கடியில் மதிப்பாய்வு செய்யக் கடினமானதாகவும் இருக்கின்றன. இதன் விளைவாக, சக மதிப்பாய்வு மேலோட்டமானதாகவோ அல்லது அடையாளப்பூர்வமானதாகவோ ஆகிவிடுகிறது. இந்த அமைதியான சரிவு, மிகவும் பயனுள்ள கட்டுப்பாடுகளில் ஒன்றை நீக்கிவிடுகிறது. software supply chain security.
பிரச்சனை டெவலப்பரின் அலட்சியம் அல்ல. அது பணிப்பாய்வு சீரமைப்பின்மையே. வேகம் ஊக்குவிக்கப்பட்டு, தாமதம் தண்டிக்கப்படும்போது, மனித கவனத்தைச் சார்ந்திருக்கும் செயற்கை நுண்ணறிவும் மென்பொருள் பாதுகாப்புக் கட்டுப்பாடுகளும் தவிர்க்க முடியாமல் பலவீனமடைகின்றன. மறுஆய்வு இனி ஒரு தடையாகச் செயல்படாத பட்சத்தில், தாக்குபவர்கள் அதைத் தவிர்க்க வேண்டிய அவசியமில்லை.
மதிப்பாய்வு செயல்முறை இருப்பதால், அது இன்னும் பயனுள்ளதாக இருக்கும் என்று பல குழுக்கள் கருதுகின்றன. அது இன்னும் ஒரு அர்த்தமுள்ள கட்டுப்பாடாகச் செயல்படுகிறதா என்று மிகச் சிலரே கேட்கிறார்கள்.
தீங்கிழைக்கும் திறந்த மூல மென்பொருள் தொகுப்புகள் மற்றும் பிரபலம் பற்றிய கட்டுக்கதை
திறந்த மூல சார்பு மேலாண்மையில், பிரபலமான திட்டங்கள் பாதுகாப்பானவை என்பது ஒரு பொதுவான நம்பிக்கையாகும். உண்மையில், பிரபலம் பெரும்பாலும் வெளிப்பாட்டை அதிகரிக்கிறது. பரவலாகப் பயன்படுத்தப்படும் நூலகங்கள் அதிக மதிப்புள்ள இலக்குகளாக உள்ளன. திறந்த மூல விநியோகச் சங்கிலி தாக்குதல்கள், முன்cisஏனெனில் சமரசம் பரந்த அளவிலான பின்விளைவுகளை ஏற்படுத்துகிறது.
பல பிரபலமான திட்டங்கள் சிறிய குழுக்களால் அல்லது தனிநபர்களால் பராமரிக்கப்படுகின்றன. சிக்கல்கள் கண்டறியப்பட்டாலும் கூட, தீங்கிழைக்கும் திறந்த மூல மென்பொருள் தொகுப்புகள் அகற்றப்படுவதற்கு முன்பு பல மணிநேரங்கள் அல்லது நாட்கள் வரை பெரும்பாலும் பயன்பாட்டில் இருக்கின்றன. அந்த நேரத்தில், நிறுவனங்கள் தானியங்கு உருவாக்கங்கள் மூலம் அவற்றை தொடர்ந்து உள்வாங்கிக்கொள்கின்றன.
இந்தத் தாமதம், முன்னெச்சரிக்கை நடவடிக்கையின் அவசியத்தை வலியுறுத்துகிறது. software supply chain security கட்டுப்பாடுகள். நவீன மென்பொருள் விநியோகச் சங்கிலி அபாயத்தை எதிர்கொள்ளும்போது, பிரபலம், நற்பெயர் அல்லது பதிவக நடவடிக்கையை மட்டும் சார்ந்திருப்பது போதுமானதல்ல.
“பரவலாகப் பயன்படுத்தப்படுவது” என்பது “தீவிரமாகப் பாதுகாக்கப்படுவது” என்பதற்குச் சமமானதல்ல, மேலும் அதை அவ்வாறு கருதுவது விநியோகச் சங்கிலி தொடர்பான மிகவும் நீடித்த தவறான புரிதல்களில் ஒன்றாகும்.
மென்பொருள் விநியோகச் சங்கிலிகள் மற்றும் AI பாதுகாப்பில் தோற்றம்
விவாதம் முழுவதும், மென்பொருள் விநியோகச் சங்கிலிகளில் மூலத்தைக் குறிப்பிடுவதன் அவசியம் மீண்டும் மீண்டும் வெளிப்பட்டது. செயற்கை நுண்ணறிவு உதவியுடனான சூழல்களில், மூலத்தைக் குறிப்பிடுவது தெளிவற்றுப் போகிறது. ஒரு நிரலானது மாதிரியால் உருவாக்கப்பட்டு, மனிதனால் மாற்றியமைக்கப்பட்டு, தானியக்கத்தால் ஒன்றிணைக்கப்பட்டு, தெளிவான பொறுப்புக்கூறல் இன்றிப் பயன்படுத்தப்படலாம்.
சரிபார்க்கக்கூடிய மூல ஆதாரம் இல்லாமல், நிறுவனங்கள் கலைப்பொருட்களைக் கண்மூடித்தனமாக நம்ப வேண்டிய கட்டாயத்தில் உள்ளன. செயற்கை நுண்ணறிவுப் பாதுகாப்பு, நம்பிக்கையிலிருந்து சரிபார்ப்பை நோக்கிய ஒரு மாற்றத்தைக் கோருகிறது: கையொப்பமிடப்பட்ட கலைப்பொருட்கள், build attestationsமற்றும், கண்டறியக்கூடிய மூலங்கள். மூலத்தைக் குறிப்பிடுவது தீங்கிழைக்கும் நடத்தையை முற்றிலுமாகத் தடுக்காவிட்டாலும், அது தெளிவின்மையைக் கணிசமாகக் குறைத்து, தாக்குபவரின் சூழ்ச்சித் திறனைக் கட்டுப்படுத்துகிறது.
இது மாதிரிகள், தரவு மற்றும் குறியீடு ஆகிய மூன்றிற்கும் சமமாகப் பொருந்தும். செயற்கை நுண்ணறிவால் இயக்கப்படும் மென்பொருள் உருவாக்கத்தில், மூல ஆதாரம் என்பது செயற்கை நுண்ணறிவு மற்றும் மென்பொருள் பாதுகாப்பு ஆகிய இரண்டிற்கும் ஒரு அடிப்படைத் தேவையாகும்.
SBOM மற்றும் நவீன காலத்தில் AI பாதுகாப்பு Pipelines
பங்கு SBOM மேலும், செயற்கை நுண்ணறிவுப் பாதுகாப்பு என்பது மற்றொரு உள்ளார்ந்த கருப்பொருளாக இருந்தது. SBOMs சார்பு வரைபடங்களில் வெளிப்படைத்தன்மையை வழங்குகிறதுஆனால், வெளிப்படைத்தன்மை மட்டும் போதாது. செயற்கை நுண்ணறிவு அதிகம் உள்ள சூழல்களில், SBOMகட்டமைப்புகள், நூலகங்களை மட்டுமல்லாமல், மாதிரிகள், உருவாக்கப் படிநிலைகள் மற்றும் தானியங்கு வடிவமைப்பு ஆகியவற்றையும் உள்ளடக்கும் வகையில் பரிணமிக்க வேண்டும்.cisஅயனிகள்.
உடன் இணைந்த போது நடத்தை பகுப்பாய்வு மற்றும் தோற்றம், SBOM செயற்கை நுண்ணறிவுப் பாதுகாப்பு, மென்பொருள் விநியோகச் சங்கிலி அபாயத்தைக் குறைப்பதற்கான சக்திவாய்ந்த கருவிகளாக மாறுகின்றன. அவை, நிறுவனங்கள் எதிர்பாராத மாற்றங்களைக் கண்டறியவும், அவற்றின் தாக்கத்தைப் பற்றி பகுத்தறியவும், திறந்த மூல விநியோகச் சங்கிலித் தாக்குதல்களுக்கு மிகவும் திறம்படப் பதிலளிக்கவும் உதவுகின்றன.
CI/CD Pipeline Security தானியங்கு அழுத்தத்தின் கீழ்
இறுதியாக, CI/CD pipeline security ஒரு முக்கிய கட்டுப்பாட்டு தளமாக உருவெடுத்தது. Pipelineசெயற்கை நுண்ணறிவு அமைப்புகளால் பரிந்துரைக்கப்படும் அல்லது தூண்டப்படும் செயல்களை அவை பெருகிய முறையில் செயல்படுத்துகின்றன. அப்படிச் செய்தால் pipelineவலுவான அடையாளக் கட்டுப்பாடுகள், ஆவணச் சரிபார்ப்பு மற்றும் கொள்கை அமலாக்கம் இல்லாததால், அவை தாக்குபவர்களுக்கு உகந்த நுழைவாயில்களாக மாறுகின்றன.
போதாது CI/CD pipeline security தீங்கிழைக்கும் திறந்த மூல தொகுப்புகள் உற்பத்தி அமைப்புகளை மட்டுமல்லாமல், டெவலப்பர் சூழல்கள் மற்றும் உருவாக்க உள்கட்டமைப்பையும் பாதிக்க அனுமதிக்கிறது. தானியக்கம் அதிகரிக்கும்போது, pipelineகள் உயர் மதிப்பு சொத்துக்களாகக் கருதப்பட வேண்டும் software supply chain security திட்டங்கள்.
சேஃப்டெவ் டாக்-ஐப் பாருங்கள்
இத்துறையை வடிவமைக்கும் வல்லுநர்களிடமிருந்து இந்த அனைத்து நுண்ணறிவுகளையும் நேரடியாக மேலும் அறிந்துகொள்ள, முழு காணொளியையும் பாருங்கள். சேஃப்டெவ் டாக்: திறந்த மூல மென்பொருள், செயற்கை நுண்ணறிவு மற்றும் புதிய தாக்குதல் பரப்பு: ஆயுதமாக்கப்பட்ட குறியீடு, மேம்பட்ட பாதுகாப்புகள், இடம்பெறும் ரோமன் ஜுகோவ் (சிவப்பு தொப்பி), லியோன் ஜான்சன் (டிக்டாக்), மற்றும் லூயிஸ் ரோட்ரிக்ஸ் பெர்சோசா (சைஜெனி).
செயற்கை நுண்ணறிவு பாதுகாப்பு மற்றும் நடைமுறை தாக்கங்கள் Software Supply Chain Security
இந்த மாற்றங்களின் நடைமுறை விளைவுகள் கருவிகளைத் தாண்டியும் நீள்கின்றன. நிறுவனங்கள் செயற்கை நுண்ணறிவுப் பாதுகாப்பு, செயற்கை நுண்ணறிவு மற்றும் மென்பொருள் பாதுகாப்பு, மற்றும் software supply chain security இப்போது ஆழமாகப் பின்னிப் பிணைந்துள்ளன.cisஒரு காலத்தில் குறைந்த ஆபத்துடையதாகக் கருதப்பட்ட சார்புநிலைப் புதுப்பிப்புகள், குறியீடு உருவாக்கம் மற்றும் தானியக்கமாக்கல் போன்றவை, இப்போது குறிப்பிடத்தக்க மென்பொருள் விநியோகச் சங்கிலி அபாயத்தைக் கொண்டுள்ளன, குறிப்பாக அந்தச் சார்புநிலைப் புதுப்பிப்புகள் மற்றும் தானியக்கங்கள் செயல்படும்போது இந்த அபாயம் அதிகரிக்கிறது.cisஅயனிகள் மனிதர்களால் வெளிப்படையாக உருவாக்கப்படாமல், கருவிகளால் மறைமுகமாக உருவாக்கப்படுகின்றன.
சேஃப்டெவ் டாக் (SafeDev Talk) நிகழ்வின் போது, இந்தக் கருத்து சுருக்கமாக எடுத்துரைக்கப்பட்டது. பேச்சாளர்களில் ஒருவர் குறிப்பிட்டதாவது, மென்பொருள் உருவாக்கத்தில் செயற்கை நுண்ணறிவு அமைப்புகள் பங்கேற்கும்போது, பாதுகாப்புக் குழுக்கள் வெறும் குறியீட்டை மட்டும் பாதுகாப்பதில்லை; அவர்கள் அனைத்தையும் பாதுகாக்கிறார்கள்.cisதானியக்கம் பொறுப்பை நீக்குவதில்லை; அது அதனை மறுபகிர்வு செய்கிறது.
நடைமுறையில், வசதி மேலோங்கியுள்ள இடத்தில் நோக்கத்தை மீட்டெடுப்பதே இதன் பொருள். திறந்த மூல சார்பு மேலாண்மையானது, மனித ஆலோசனையை அனுமானிப்பதற்குப் பதிலாக, செயற்கை நுண்ணறிவால் இயக்கப்படும் நடத்தையைக் கணக்கில் கொள்ள வேண்டும். சார்பு அபாயத்தை இனி எப்போதாவது மேற்கொள்ளப்படும் ஒரு மறுஆய்வுப் பயிற்சியாகக் கருத முடியாது.cise. CI/CD pipeline security சரிபார்ப்பைக் கட்டாயப்படுத்த வேண்டும், உள்ளீட்டைத் தீங்கற்றது என்று அனுமானிக்கக் கூடாது. மேலும், மென்பொருள் விநியோகச் சங்கிலிகளில் அதன் மூலத்தைக் கண்டறிவது என்பது வெறும் இலட்சிய நிலையிலிருந்து அடிப்படை நிலைக்கு மாற வேண்டும்.
இந்த விவாதத்திலிருந்து கிடைத்த மற்றொரு புரிதல் என்னவென்றால், வேகம் என்பது இனி நடுநிலையானதல்ல. பெரும்பாலான விநியோகச் சங்கிலித் தோல்விகள் ஒரேயொரு பேரழிவுச் செயலால் ஏற்படுவதில்லை.cisஆனால், யாரும் வெளிப்படையாக அங்கீகரிக்காத பல சிறிய தானியங்கித் தேர்வுகளிலிருந்து இது உருவாகிறது. இது முன்cisசெயற்கை நுண்ணறிவால் இயக்கப்படும் மென்பொருள் உருவாக்கத்தின் கீழ், பாரம்பரிய நம்பிக்கை மாதிரிகள் ஏன் தோல்வியடைகின்றன என்பதை விளக்குங்கள்.
இவற்றில் எதுவும் திறந்த மூல மென்பொருளையோ அல்லது செயற்கை நுண்ணறிவையோ கைவிடுவதைக் குறிக்கவில்லை. மாறாக, இது நவீன பொறியியலில் அவற்றின் மையப் பங்கை அங்கீகரிக்கிறது. ஆனால், பாதுகாப்பு அனுமானங்களை மேம்படுத்தாமல் விட்டால், நிறுவனங்கள் தானியக்கமே இயல்பாகவே நம்பிக்கையை வரையறுக்க அனுமதிக்கும் அபாயத்தை எதிர்கொள்கின்றன.
முடிவுக்கு…
இந்த மாற்றத்தைப் பற்றி சிந்திப்பதற்கான ஒரு பயனுள்ள வழி என்னவென்றால், software supply chain security இது இனி கலைப்பொருட்களைப் பாதுகாப்பது மட்டுமல்ல. இது பாதுகாப்பது பற்றியது. decisஅயனி பாதைகள்செயற்கை நுண்ணறிவு உதவி பெறும் உலகில், மிக முக்கியமான பாதுகாப்பு கேள்விகள் என்பவை, “இந்தக் கூறு பாதிப்புக்குள்ளாகக்கூடியதா?” என்பது மட்டுமல்ல, “இது ஏன், யாரால் அல்லது எதனால், மற்றும் என்ன கட்டுப்பாடுகளின் கீழ் அறிமுகப்படுத்தப்பட்டது?” என்பதும்தான். இந்தக் கண்ணோட்டத்திற்கு ஏற்ப தங்களை மாற்றிக்கொள்ளும் நிறுவனங்கள், அபாயத்தை முற்றிலுமாக நீக்கிவிடாது, ஆனால் அதனால் அவை பெருமளவில் ஆச்சரியப்பட வேண்டியிருக்காது.
