本文來(lái)自極客網(wǎng)，作者：極客IT。
Venafi一份針對(duì)網(wǎng)絡(luò)安全高管的調(diào)查發(fā)現(xiàn)，全球高達(dá)83%的組織正在使用AI來(lái)生成代碼，相應(yīng)的安全防護(hù)卻嚴(yán)重滯后。調(diào)查表明，92%的受訪者對(duì)開發(fā)和運(yùn)營(yíng)團(tuán)隊(duì)如此廣泛依賴AI所隱含的安全影響表示擔(dān)憂。
這項(xiàng)調(diào)查匯集了來(lái)自美國(guó)、英國(guó)、德國(guó)和法國(guó)的800名受訪者的觀點(diǎn)和見解，凸顯出AI驅(qū)動(dòng)開發(fā)的快速發(fā)展與有效保障新技術(shù)安全的能力之間的差距在日益擴(kuò)大。
盡管風(fēng)險(xiǎn)越來(lái)越大，但72%的受訪者表示，他們別無(wú)選擇，只能允許開發(fā)人員使用AI來(lái)保持競(jìng)爭(zhēng)力。與此同時(shí)，63%的受訪者出于安全考慮打算完全禁止AI生成的代碼。
AI輔助代碼開發(fā)變得司空見慣
Venafi在報(bào)告中強(qiáng)調(diào)的一個(gè)最緊迫的挑戰(zhàn)：安全團(tuán)隊(duì)難以跟上AI驅(qū)動(dòng)的開發(fā)速度。66%的受訪者承認(rèn)，安全團(tuán)隊(duì)幾乎不可能以AI驅(qū)動(dòng)的代碼部署速度來(lái)管理它，這引發(fā)了人們對(duì)即將到來(lái)的“安全清算”的擔(dān)憂。與此同時(shí)，78%的受訪者預(yù)計(jì)，隨著AI的采用量繼續(xù)激增，將會(huì)面臨嚴(yán)峻的安全挑戰(zhàn)。
Venafi首席創(chuàng)新官Kevin Bocek說(shuō):“隨著開發(fā)人員和新手以尚未了解的方式使用大量GenAI生成的代碼，已經(jīng)開始出現(xiàn)一些新的威脅，例如AI中毒和模型逃逸。”
該報(bào)告還揭示了開發(fā)和運(yùn)營(yíng)人員對(duì)開源代碼的嚴(yán)重依賴。受訪的安全領(lǐng)導(dǎo)者估計(jì)，他們61%的應(yīng)用都包含開源組件。雖然90%的安全領(lǐng)導(dǎo)者信任這些庫(kù)，但86%的人認(rèn)為開源優(yōu)先考慮的是速度而不是安全最佳實(shí)踐。
這帶來(lái)了一個(gè)嚴(yán)峻的挑戰(zhàn)，因?yàn)?5%的人承認(rèn)，驗(yàn)證每一行開源代碼的安全性幾乎是不可能實(shí)現(xiàn)的。
Venafi技術(shù)總監(jiān)Steve Judd對(duì)此表示，“組織不能盲目地相信開源解決方案，因?yàn)樗麄冋娴牟恢朗钦l(shuí)創(chuàng)建了這些解決方案或做出了貢獻(xiàn)。”
AI帶來(lái)的安全問(wèn)題存在治理差距
Venafi的研究還指出了安全治理方面的重大差距，47%的組織缺乏確保在其開發(fā)環(huán)境中安全使用AI的政策。此外，63%的安全領(lǐng)導(dǎo)者認(rèn)為，由于無(wú)法了解AI的使用情況，因此幾乎不可能在組織內(nèi)部對(duì)AI的使用進(jìn)行監(jiān)管。
Venafi在報(bào)告中主張將代碼簽名作為一種關(guān)鍵的防御機(jī)制，以抵御AI和開源開發(fā)帶來(lái)的風(fēng)險(xiǎn)。92%的安全領(lǐng)導(dǎo)者認(rèn)為代碼簽名對(duì)于在開源代碼中建立信任至關(guān)重要，因?yàn)樗?yàn)證了代碼的真實(shí)性和完整性。這種方法可確保不執(zhí)行任何未經(jīng)授權(quán)的代碼，從而保護(hù)組織免受潛在攻擊。
值得注意的是，早在AI出現(xiàn)之前，很多編碼工作已經(jīng)實(shí)現(xiàn)了自動(dòng)化。像代碼自動(dòng)補(bǔ)全和低代碼平臺(tái)這樣的工具已經(jīng)能夠處理一些日常任務(wù)，例如檢測(cè)bug、樣板代碼生成和語(yǔ)言翻譯。集成開發(fā)環(huán)境(IDE)也早就能夠提供自動(dòng)完成功能，以加快編碼速度并減少人工操作。
不過(guò)，這些自動(dòng)化系統(tǒng)傳統(tǒng)上主要關(guān)注調(diào)試和格式化等低級(jí)任務(wù)，主要是為了簡(jiǎn)化特定的開發(fā)階段，與AI驅(qū)動(dòng)的利用大型語(yǔ)言模型(LLM)來(lái)大量增加代碼大有不同。
