Az AI írja a kódot. Ki nézi át a kockázatot?
Az AI-asszisztensek az új kód egyre nagyobb részét írják és fejlesztői háttér nélküli emberek raknak össze teljes appokat promptokból. Gyakran működik is, alapból viszont ritkán biztonságos. Megtanítjuk a csapatotoknak, hogyan szűrjék ki a kockázatot, mielőtt élesbe kerül, élőben, a ti technológiai környezetetekhez igazítva.
Három terület, ahol megváltozott a kockázat.
Az AI felgyorsítja a kódírást. A biztonságos felülvizsgálatnak is lépést kell tartania.
Sok csapatban az AI-kódasszisztens már a mindennapi munka része és egyre több új kód indul AI-javaslatként. A javaslatok gyorsan érkeznek és hihetőnek tűnnek, de ugyanazok a sérülékenységtípusok lehetnek bennük, mint az ember írta kódban és minden plusz változtatás ugyanazokra az átnézőkre vár.
Közben a promptokból építők közül sokaknak nincs biztonsági vagy akár fejlesztői háttere. Az eredmény átmegy egy bemutatón, de elhasal a fenyegetésmodellezésen: kódba égetett titok, hiányzó jogosultságkezelés, injektálható bemenet, túl széles jogosultságok.
Egy szkenner ennek egy részét megtalálja. De nem tanítja meg a fejlesztőt, hogy ne írja bele újra és semmit nem ad annak, aki el sem tudja olvasni a kódot, amit kiadott. Ez a rés az ítélőképesség és az átnézés és pont ezt építjük fel.
Amivel foglalkozunk
Vibe coding és no-code AI-fejlesztés
Hol törnek el a promptból épített rendszerek és hogyan építhetnek tovább a nem fejlesztők is anélkül, hogy újabb biztonsági kockázatokat vinnének éles környezetbe.
Az AI által generált kód felülvizsgálata
Az AI által generált kód jellemző biztonsági hibái és a fejlesztési sebességhez igazodó biztonsági felülvizsgálat.
Titkok és legkisebb jogosultság
A hitelesítő adatok távol tartása a promptoktól és a kódtól, valamint az AI-ágensek hozzáféréseinek korlátozása és műveleteik felügyelete.
Biztonsági kontrollok a CI/CD-ben
SAST, DAST és SCA a pipeline-ba kötve, hangolt ellenőrzési pontként, hogy a tempó ne előzze meg a biztonságot.
Többszintű szabályozás
Mit szabad AI-jal generálni könnyített átnézéssel és mi igényel emberi szerzőséget vagy senior jóváhagyást élesítés előtt.
NIS2 / ISO/IEC 27001 (mérnöki oldal)
Ugyanezek a gyakorlatok visszakövethető bizonyítékot adnak a megfelelési munkához. A képzés segíti a megfelelést, de nem garantálja.
AI-fejlesztésbiztonsági képzés a csapatotoknak
Félnapos bemutató célzott gyakorlófeladatokkal, vagy a csapat környezetéhez igazított gyakorlati workshop, lehetőség szerint a saját kódotokon. Online vagy helyszínen, magyarul vagy angolul. Hagyd itt az elérhetőséged és jelentkezünk.
Az adataidat csak a megkeresésed megválaszolásához használjuk. Nincs lista, nincs spam. Lásd az adatkezelési tájékoztatót.
Köszönjük, megvan.
Az üzeneted úton van hozzánk. Egy-két napon belül jelentkezünk a megadott e-mail-címen.