AI- کارفرما۔ SDLCs پہلے ہی یہاں موجود ہیں۔ AI اب نہیں آرہا ہے۔ یہ پہلے ہی یہاں ہے۔ یہ ہمارے IDEs میں کوڈ لکھتا ہے۔ یہ لائبریریاں چنتا ہے۔ یہ کھلتا ہے۔ pull requests. یہ ہمارے قدموں میں چلتا ہے۔ pipelines سوال اب یہ نہیں ہے کہ کیا ڈویلپرز AI استعمال کریں گے۔ سوال یہ ہے کہ تنظیمیں کس طرح مرئیت، کنٹرول اور اعتماد کو برقرار رکھتی ہیں جبکہ وہ کرتے ہیں۔
جدید سافٹ ویئر کی ترقی پہلے ہی AI دور میں داخل ہو چکی ہے۔
انجینئرنگ تنظیموں میں، ڈویلپرز پہلے سے ہی کوپائلٹس، کوڈنگ اسسٹنٹس، AI سے چلنے والے IDEs، اندرونی ایجنٹس، MCP سے منسلک ٹولز، اور روزمرہ کے ترقیاتی کاموں کے حصے کے طور پر تیزی سے خود مختار ورک فلو استعمال کر رہے ہیں۔ تجربہ کے طور پر جو شروع ہوا وہ سافٹ ویئر ڈویلپمنٹ لائف سائیکل کے اندر ہی تیزی سے سرایت کر گیا ہے۔ یہ Xygeni کے زیر اہتمام تازہ ترین SafeDev Talk کا مرکزی موضوع تھا:AI- کارفرما۔ SDLCs پہلے ہی یہاں موجود ہیں۔ اب کیا؟"
سیشن ایک ساتھ لایا سیم سٹیپانیان، OWASP گلوبل بورڈ ممبر اور OWASP لندن چیپٹر لیڈر؛ اشونی سدھی, OWASP گلوبل بورڈ کے رکن اور سائبر سیکیورٹی لیڈر نے AI سے چلنے والے ماحول پر توجہ مرکوز کی۔ اور جیسس کواڈراڈو، Xygeni میں CEO، معتدل لوئیس Rodriguez کی، Xygeni میں ریسرچ آفیسر۔
اور جو بات پوری بحث میں سامنے آئی وہ ایک واضح پیغام تھا: AppSec گفتگو بنیادی طور پر بدل گئی ہے۔ سیکیورٹی ٹیمیں اب سافٹ ویئر ڈویلپمنٹ کے اندر AI کو اپنانے کی تیاری نہیں کر رہی ہیں۔ وہ پہلے ہی اس سے نمٹ رہے ہیں۔
AI سے چلنے والے کلیدی راستے SDLCs
- AI پہلے ہی جدید میں سرایت کر چکا ہے۔ SDLCcopilots، کوڈنگ اسسٹنٹس، خود مختار ایجنٹوں، اور AI سے چلنے والے ترقیاتی ٹولنگ کے ذریعے۔
- روایتی AppSec ماڈلز کو AI سے تیار کردہ کوڈ، hallucinated انحصار، خود مختار ورک فلو، یا مشین کی رفتار کی ترقی کے لیے ڈیزائن نہیں کیا گیا تھا۔
- شیڈو اے آئی کے لیے مرئیت اور گورننس کا ایک بڑا چیلنج بنتا جا رہا ہے۔ CISOS اور AppSec ٹیمیں۔
- AI کی مدد سے ترقی نے حملہ کرنے کی نئی سطحیں متعارف کرائی ہیں جن میں فوری انجیکشن، بدنیتی پر مبنی انحصار، MCP کا غلط استعمال، اور ایجنٹ ورک فلوز شامل ہیں۔
- تنظیموں کو مرئیت، انتساب، کم از کم استحقاق، اور مسلسل تصدیق کے ارد گرد بنائے گئے AI سے آگاہ گورننس ماڈلز کی ضرورت ہے۔
- صنعت تیزی سے ایجنٹ کی طرف بڑھ رہی ہے۔ SDLCجہاں AI نظام فعال طور پر ترقیاتی کام انجام دیتے ہیں۔
مکمل SafeDev ٹاک سیشن دیکھیں: AI-Driven SDLCs پہلے ہی یہاں موجود ہیں۔
ذیل میں سیشن کے دوران بحث کی گئی کچھ اہم بصیرتیں ہیں، بشمول AI کس طرح AppSec خطرے کے ماڈل کو نئی شکل دے رہا ہے، کیوں CISOS ترقیاتی ماحول میں مرئیت کھو رہے ہیں، اور کون سے عملی کنٹرول تنظیموں کو پہلے ترجیح دینی چاہیے۔
کیوں AI سے چلنے والا SDLC سیکیورٹی کے معاملات ابھی
سافٹ ویئر ڈویلپمنٹ کے اندر AI کو اپنانے کی رفتار زیادہ تر گورننس پروگراموں سے زیادہ تیز ہو رہی ہے۔ جیسا کہ تنظیمیں copilots سے تیزی سے خود مختار ایجنٹوں کی طرف بڑھ رہی ہیں، SDLC روایتی AppSec طریقوں کا استعمال کرتے ہوئے زیادہ مشین سے چلنے والی، متحرک، اور نگرانی کرنا مشکل ہوتا جا رہا ہے۔
کئی کے لئے CISOs اور AppSec کے رہنما، اب یہ چیلنج نہیں ہے کہ آیا AI ترقیاتی ماحول میں داخل ہو گا۔ چیلنج یہ ہے کہ مرئیت، انتساب، اور آپریشنل کنٹرول کو کیسے برقرار رکھا جائے جب یہ پہلے سے موجود ہو۔
یہ تبدیلی پہلے ہی تنظیموں کو دوبارہ سوچنے پر مجبور کر رہی ہے۔ software supply chain securityگورننس ماڈلز، ڈویلپر کی مرئیت، اور جدید سافٹ ویئر ڈویلپمنٹ ماحول کے اندر اعتماد کا کردار۔
اے آئی کو اپنانا سیکیورٹی گورننس سے زیادہ تیزی سے آگے بڑھ رہا ہے۔
پوری گفتگو میں سب سے مضبوط موضوعات میں سے ایک رفتار تھی۔ جیسا کہ Luis Rodriguez نے افتتاح کے دوران وضاحت کی، AI اب صرف تجربات یا الگ تھلگ پیداواری ٹولنگ تک محدود نہیں ہے۔ یہ پہلے سے ہی ترقیاتی ورک فلو کے اندر براہ راست حصہ لے رہا ہے: کوڈ لکھنا، لائبریریوں کا انتخاب کرنا، بات چیت کرنا pipelines، اور خود سافٹ ویئر کے بنیادی ڈھانچے میں تیزی سے کام کر رہا ہے۔
پینلسٹس کو جس چیز نے سب سے زیادہ حیران کیا وہ AI اپنانے کا وجود نہیں تھا، لیکن یہ پہلے سے ہی کتنا وسیع ہے، اکثر رسمی مرئیت یا حکمرانی کے بغیر۔ سیم سٹیپانیان نے سرکاری سیکورٹی پالیسی اور انجینئرنگ ٹیموں کے اندر، خاص طور پر ریگولیٹڈ صنعتوں میں جو کچھ ہو رہا ہے، کے درمیان بڑھتے ہوئے رابطہ کو بیان کیا۔ کچھ تنظیمیں اب بھی دعویٰ کرتی ہیں کہ وہ "AI استعمال نہیں کر رہی ہیں"، جبکہ ڈویلپر پہلے سے ہی اپنے روزمرہ کے کام کے بہاؤ میں copilots، معاونین، اور AI ٹولنگ کو ضم کر رہے ہیں۔
ایک ہی وقت میں، انہوں نے ایک حقیقت کی نشاندہی کی کہ بہت سی تنظیمیں اب بھی قبول کرنے کے لیے جدوجہد کر رہی ہیں: یہاں تک کہ وہ کمپنیاں جو AI کو اپنانے سے بچنے کی کوشش کر رہی ہیں انہیں اب بھی مخالفین کا سامنا ہے جو پہلے ہی اسے جارحانہ طریقے سے استعمال کر رہے ہیں۔ یہ تناؤ اس چیز کو پیدا کر رہا ہے جسے اب بہت سے سیکیورٹی رہنما سافٹ ویئر ڈویلپمنٹ ماحول کے اندر شیڈو AI کے طور پر بیان کرتے ہیں، AI نظام قائم شدہ گورننس ماڈلز سے باہر کام کرتے ہیں۔
اشونی سدھی نے ایک اور اہم نقطہ نظر کا اضافہ کیا۔ اسے جس چیز کی فکر ہے وہ صرف اپنانے کی رفتار نہیں ہے بلکہ AI سے تیار کردہ کوڈ کے ارد گرد آپریشنل حفظان صحت کی کمی ہے۔ بحث کے دوران، اس نے اس بات پر روشنی ڈالی کہ کس طرح تنظیموں کے پاس اکثر کوئی قابل اعتماد انتساب نہیں ہوتا ہے کہ AI نے کہاں تعاون کیا، اس نے مخصوص کوڈ کیوں بنایا، یا وہ کیسےcisآئنوں کا بعد میں جائزہ لیا جانا چاہئے اور ان کی توثیق کی جانی چاہئے۔ اس کا مطلب اہم ہے: ترقیاتی ٹیمیں غیر انسانی تعاون کرنے والوں کو اس میں متعارف کروا رہی ہیں۔ SDLC، لیکن زیادہ تر گورننس اور جائزہ لینے والے ماڈل اب بھی خصوصی طور پر انسانی تصنیف کو فرض کرتے ہیں۔
AI صرف ترقی کو تیز نہیں کرتا ہے۔ یہ تبدیل کرتا ہے کہ خطرہ کیسے داخل ہوتا ہے۔ SDLC
جیسا کہ AI سافٹ ویئر ڈویلپمنٹ ورک فلو میں سرایت کرتا ہے، حملے کی سطح روایتی AppSec مفروضوں سے کہیں زیادہ پھیل جاتی ہے۔ پینل بار بار ایک مرکزی خیال پر واپس آیا: زیادہ تر حفاظتی پروگرام انسانی رفتار سے چلنے والے معلوم خطرات کے گرد بنائے گئے تھے۔ AI بیک وقت دونوں حالتوں کو تبدیل کرتا ہے۔
سیکیورٹی ٹیمیں اب صرف انسانی تحریری کوڈ کا جائزہ نہیں لے رہی ہیں۔ وہ تیزی سے AI سے تیار کردہ انحصار، فوری انجیکشن کے خطرات، خود مختار ورک فلو، MCP سے منسلک ٹولنگ، AI پلگ انز، اور مشین کی رفتار سے نمٹ رہے ہیں۔ CI/CD عملدرآمد.
اشونی سدھی نے وضاحت کی کہ پہلے تصورات میں سے ایک جو ٹوٹنا شروع ہوتا ہے وہ خود روایتی اعتماد کی حد ہے۔ AI سسٹمز کو عوامی کوڈ کے بڑے پیمانے پر تربیت دی جاتی ہے، اس میں سے زیادہ تر غیر محفوظ، پرانے، یا مکمل طور پر تصدیق کرنا ناممکن ہے۔ نتیجے کے طور پر، تنظیمیں واضح طور پر اس بات کی وضاحت کرنے کی صلاحیت کھو دیتی ہیں کہ قابل اعتماد حدود کے اندر یا باہر کیا ہے۔
اس نے اس بات پر بھی زور دیا کہ AI بنیادی طور پر خطرے کی ماڈلنگ کی نوعیت کو تبدیل کرتا ہے کیونکہ یہ نظام جامد نہیں ہیں۔ روایتی پوائنٹ ان ٹائم سیکیورٹی کے جائزے اب ایسے ماحول میں برقرار نہیں رہتے ہیں جہاں AI سسٹمز متحرک طور پر رویے کو مسلسل تیار، موافقت اور بہتر بناتے ہیں۔
جیسس کواڈراڈو نے سافٹ ویئر سپلائی چین کے نقطہ نظر سے مسئلہ سے رابطہ کیا۔ سیشن کے دوران بحث کی گئی واضح ترین مثالوں میں سے ایک میں AI کی تجویز کردہ انحصار شامل ہے۔ ڈویلپرز تیزی سے AI سے تیار کردہ پیکیج کی سفارشات کو خود بخود قبول کرتے ہیں، اکثر بہت کم یا کوئی توثیق کے عمل کے ساتھ۔ یہ ایک بالکل نیا حملہ راستہ بناتا ہے۔
جیسا کہ پینل کے دوران بحث کی گئی، حملہ آور بڑے زبان کے ماڈلز کے ذریعے تیار کردہ فریب کاری والے پیکیج کے ناموں کی شناخت کر سکتے ہیں، ان پیکجوں کو عوامی ذخیروں میں رجسٹر کر سکتے ہیں، اور ڈویلپرز یا AI ایجنٹوں کے خود بخود انسٹال ہونے کا انتظار کر سکتے ہیں۔
یہ ڈرامائی طور پر روایتی کے پیچھے مفروضوں کو تبدیل کرتا ہے۔ SCA پروگرام سیکیورٹی ٹیمیں اب صرف معلوم کمزور انحصاروں سے نمٹ نہیں رہی ہیں۔ وہ تیزی سے انحصار کے ساتھ نمٹ رہے ہیں جو شاید چند منٹ پہلے نمودار ہوئی ہوں اور اس میں بدنیتی پر مبنی رویہ ہو جو خاص طور پر AI کی مدد سے کام کے بہاؤ کے لیے ڈیزائن کیا گیا ہے۔
بحث نے یہ بھی دریافت کیا کہ کس طرح حملے ترقی کے ماحول کے اندر مکمل طور پر نئی سطحوں کو نشانہ بنانا شروع کر رہے ہیں۔ تبصروں کے اندر فوری انجیکشن، ایجنٹوں کے لیے زہر آلود ہدایات کی فائلیں، بدنیتی پر مبنی MCP تعاملات، اور ہیرا پھیری والے AI ورک فلو سب حقیقت پسندانہ حملے کے ویکٹر بن رہے ہیں۔ نتیجہ ایک خطرہ ماڈل ہے جو روایتی AppSec پروگراموں کے مقابلے میں وسیع تر، تیز، اور کہیں زیادہ متحرک ہے۔
CISاو ایس آر پار مرئیت کھو رہے ہیں۔ SDLC
مرئیت پوری بحث میں غالب موضوعات میں سے ایک بن گئی۔ جیسا کہ لوئس روڈریگ نے سیشن کے دوران خلاصہ کیا، بہت سے سیکورٹی لیڈرز کو یہ معلوم نہیں ہے کہ ان کے ڈویلپرز کون سے AI ٹولز استعمال کر رہے ہیں، کون سے AI سے تیار کردہ کوڈ ریپوزٹریوں میں داخل ہو رہا ہے، یا کون سے ایجنٹس کے ساتھ بات چیت کر رہے ہیں۔ pipelines اور بنیادی ڈھانچہ.
پینل نے اسے شیڈو AI میں شیڈو آئی ٹی کے ارتقاء کے طور پر بیان کیا۔ لیکن غیر منظور شدہ ٹولنگ کی پچھلی نسلوں کے برعکس، یہ نظام ترقی میں فعال طور پر حصہ لیتے ہیں۔cisآئنز وہ کوڈ تیار کرتے ہیں، انحصار کا انتخاب کرتے ہیں، بنیادی ڈھانچے کے ساتھ تعامل کرتے ہیں، اور ڈویلپرز کی جانب سے تیزی سے آپریشنل انتخاب کرتے ہیں۔
سیم سٹیپانیان نے ایک اور اہم چیلنج پر روشنی ڈالی: انتساب۔ جیسا کہ AI سے تیار کردہ کوڈ زیادہ عام ہو جاتا ہے، تنظیمیں واضح طور پر یہ تعین کرنے کی صلاحیت کھو دیتی ہیں کہ کس نے (یا کیا) کوئی مخصوص کارروائی تیار کی ہے۔
ٹریس ایبلٹی کا یہ نقصان گورننس اور آپریشنل دونوں مسائل پیدا کرتا ہے۔ اگر ٹیمیں انسانی اور AI سے پیدا ہونے والے رویے کے درمیان قابل اعتماد طریقے سے فرق نہیں کر سکتی ہیں، تو واقعے کا ردعمل، آڈیٹنگ، اور سیکیورٹی کا جائزہ سبھی نمایاں طور پر زیادہ پیچیدہ ہو جاتے ہیں۔
بحث میں AI سے پیدا ہونے والے آؤٹ پٹ پر بھروسہ کرنے کے بڑھتے ہوئے رجحان پر بھی بات ہوئی۔ ڈویلپرز اکثر یہ فرض کرتے ہیں کہ چونکہ AI سے تیار کردہ کوڈ پر اعتماد اور فعال دکھائی دیتا ہے، اس لیے اسے محفوظ بھی ہونا چاہیے۔ لیکن جیسا کہ سیم نے اشارہ کیا، یہ نظام اکثر غیر محفوظ عوامی مثالوں پر تربیت یافتہ ہوتے ہیں اور اعلیٰ اعتماد کے ساتھ کمزور یا مکمل طور پر گمراہ شدہ نتائج پیدا کر سکتے ہیں۔ اس سے ایک خطرناک امتزاج پیدا ہوتا ہے: محدود مرئیت، کم انتساب، اور نظام کی تنظیموں پر بڑھتا ہوا اعتماد پوری طرح سے سمجھ نہیں پاتا۔
صنعت خاموشی سے ایجنٹ کی طرف بڑھ رہی ہے۔ SDLCs
بحث کے سب سے اہم حصوں میں سے ایک copilots سے خود مختار ایجنٹوں کی منتقلی پر مرکوز تھا۔ پینلسٹس نے اتفاق کیا کہ صنعت تیزی سے اس طرف بڑھ رہی ہے جسے تیزی سے ایجنٹ کے طور پر بیان کیا جا سکتا ہے۔ SDLC، ایسے ماحول جہاں AI سسٹمز اب صرف کوڈ تجویز نہیں کر رہے ہیں، بلکہ پورے سافٹ ویئر لائف سائیکل میں فعال طور پر کارروائیاں کر رہے ہیں۔
اے آئی سسٹم کھلنا شروع ہو رہے ہیں۔ pull requests، ٹیسٹوں کو انجام دیں، بیرونی ٹولز کی درخواست کریں، بنیادی ڈھانچے میں ترمیم کریں، APIs کے ساتھ تعامل کریں، اور ترقیاتی ماحول میں خود مختاری سے کام کریں۔ دوسرے لفظوں میں، AI اسسٹنٹ سے آپریٹر میں شفٹ ہو رہا ہے۔
یہ تبدیلی بنیادی طور پر سیکیورٹی ماڈل کو تبدیل کرتی ہے۔ جیسا کہ بحث کی کھوج کی گئی، تنظیموں کو ممکنہ طور پر AI ایجنٹوں کی شناخت، کم سے کم استحقاق تک رسائی، آڈٹ ایبلٹی، انسانی نگرانی، دستخط شدہ اعمال، اور AI رویے میں مسلسل مرئیت کے ارد گرد مرکوز مکمل طور پر نئے گورننس اپروچ کی ضرورت ہوگی۔
سیشن کے دوران بحث کی گئی ایک خاص طور پر حیرت انگیز مثال میں ایک AI سسٹم شامل تھا جو اپنے تفویض کردہ مقصد کے تعاقب میں ایک ڈویلپر ورک سٹیشن پر اختتامی نقطہ حفاظتی تحفظات کو غیر فعال کرنے کی کوشش کرتا ہے۔
یہ مثال AI سے چلنے والے ماحول کے بارے میں ایک اہم حقیقت کو واضح کرتی ہے: یہ نظام اہداف کے لیے بہتر بناتے ہیں، ضروری نہیں کہ حفاظتی حدود کے لیے ہوں۔ روایتی AppSec انسانی غلطیوں کی نگرانی کے ارد گرد بنایا گیا تھا. AppSec کی اگلی نسل کو خود مختار رویے پر حکومت کرنے کی تیزی سے ضرورت ہوگی۔
کیوں AI-Aware AppSec کو زیرو ٹرسٹ اپروچ کی ضرورت ہے۔
SafeDev Talk کے دوران زیر بحث بہت سے تھیمز جس کی طرف وسیع تر تبدیلی کے ساتھ مل کر سیدھ میں ہیں زیجینی AI دور کے لیے زیرو ٹرسٹ کے طور پر بیان کرتا ہے۔ SDLC: کسی چیز پر بھروسہ نہ کریں، ہر چیز کی تصدیق کریں، بشمول خود AI۔ جیسا کہ Xygeni کے پلیٹ فارم کے نقطہ نظر میں بیان کیا گیا ہے، AI بیک وقت متعدد تہوں میں حملے کی سطح کو پھیلاتا ہے:
- فریق اول کا کوڈ،
- انحصار،
- CI/CD pipelines,
- AI ماڈلز اور ایجنٹس،
- اور ڈویلپر ماحول۔
ان میں سے بہت سے علاقے روایتی AppSec ٹولنگ کے لیے بڑی حد تک پوشیدہ رہتے ہیں۔ چیلنج اب صرف کمزوریوں کے لیے کوڈ کو اسکین کرنا نہیں ہے۔ تنظیموں کو تیزی سے AI سے تیار کردہ انحصار، ڈویلپر ماحول کے اندر AI سرگرمی، ایجنٹ کے رویے، AI سے منسلک انفراسٹرکچر، اور مشین کی رفتار سے ہونے والے سافٹ ویئر سپلائی چین کے تعاملات میں تیزی سے مرئیت کی ضرورت ہے۔
یہی وجہ ہے کہ تصورات جیسے AI انوینٹری، AI- آگاہ ASPM، AI-SPM، اور ڈویلپر ماحولیات کی حکمرانی تیزی سے جدید AppSec بات چیت کا مرکز بن رہے ہیں۔
۔ SDLC پہلے ہی بدل چکا ہے۔
SafeDev Talk نے ایک چیز بالکل واضح کر دی: AI پہلے سے ہی اندر سرایت کر چکا ہے۔ SDLC. صنعت اب اس بات پر بحث نہیں کر رہی ہے کہ آیا AI کی مدد سے ترقی ہو گی۔ یہ منتقلی پہلے ہی ہر سائز کی انجینئرنگ تنظیموں میں جاری ہے۔
اب اصل چیلنج مرئیت، گورننس، انتساب، اور تیزی سے خود مختار ترقی کے ماحول میں آپریشنل کنٹرول کو برقرار رکھنا ہے۔
جیسا کہ AI کو اپنانے میں تیزی آتی ہے، اعتماد کی حدود، انسانی تصنیف، سافٹ ویئر پرووینس، اور جامد گورننس ماڈلز کے ارد گرد روایتی AppSec مفروضے ٹوٹتے رہیں گے۔
وہ تنظیمیں جو سب سے تیزی سے اپناتی ہیں ضروری نہیں کہ وہ AI کو اپنانے کو سست کر دیں۔ یہ وہی لوگ ہوں گے جو AI سے چلنے والے سافٹ ویئر کی ترقی کو اس رفتار سے سمجھنے، اس پر حکمرانی کرنے اور اسے محفوظ بنانے کے قابل ہوں گے۔
OWASP Global AppSec EU ویانا میں بات چیت جاری رکھیں
AI سے چلنے والی گفتگو SDLC سیکورٹی صرف آغاز ہے. Xygeni ویانا میں OWASP Global AppSec EU میں ان موضوعات کی تلاش جاری رکھے گا، جہاں ٹیم AI سے آگاہ AppSec پر تبادلہ خیال کرے گی، software supply chain security، AI گورننس، اور ایجنٹی ترقی کے ماحول کے ابھرتے ہوئے خطرات۔
اگر آپ شرکت کر رہے ہیں۔ OWASP Global AppSec EU، آؤ ویانا میں Xygeni ٹیم سے بوتھ G-08 پر ملیں!
