安全团队与开发团队之间的紧张关系
83% 的安全领导者表示,他们的开发人员目前使用人工智能来生成代码,57% 的人表示这已成为一种常见做法。
然而,72% 的人认为他们别无选择,只能允许开发人员使用人工智能来保持竞争力,63% 的人考虑过出于安全风险而禁止在编码中使用人工智能。
66% 的受访者表示,安全团队无法跟上人工智能开发人员的步伐。
因此,安全领导者感到他们正在失去控制,企业正面临风险,78% 的人认为人工智能开发的代码将导致安全清算,59% 的人因人工智能的安全影响而彻夜难眠。
63% 的安全主管认为,无法在组织内管理AI 的安全使用,因为他们无法了解 AI 的使用地点。
尽管存在担忧,但 47% 的公司制定了政策,以确保在开发环境中安全使用 AI。
在人工智能编写代码的新世界中,安全团队陷入了进退维谷的境地。开发人员已经受到了人工智能的强力驱动,不会放弃他们的超能力。
而攻击者正在渗透我们的队伍;最近的例子,比如长期干预开源项目和朝鲜渗透 IT,只是冰山一角。
如今,任何拥有大语言模型的人都可以编写代码,开辟了一条全新的战线。
代码才是最重要的,无论是开发人员使用人工智能进行超级编码、渗透外国特工,还是金融界人士从受过什么训练的法学硕士学位那里获得代码。
所以代码才是最重要的!我们必须验证代码的真实性,无论它来自哪里。
安全领导者对人工智能代码的主要担忧
在研究开发人员使用 AI 编写或生成代码的具体问题时,安全领导者提到了三个主要问题:
开发人员会过度依赖人工智能,导致标准降低
人工智能编写的代码无法得到有效的质量检查
人工智能将使用过时且维护不善的开源库
该研究还强调,不仅人工智能对开源的使用可能给安全团队带来挑战:
开源过剩:安全领导者估计,平均而言,61% 的应用程序使用开源。这种对开源的过度依赖可能带来潜在风险,因为 86% 的受访者认为开源代码鼓励开发人员提高速度,而不是鼓励开发人员采取最佳安全实践。
令人烦恼的验证:90% 的安全领导者信任开源库中的代码,其中 43% 表示完全信任------但 75% 表示不可能验证每一行开源代码的安全性。因此,92% 的安全领导者认为应该使用代码签名来确保开源代码是可信的。
最近的 CrowdStrike 中断显示了代码从开发人员到全球崩溃的速度有多。
代码现在可以来自任何地方,包括人工智能和外国代理。代码来源只会越来越多,而不是越来越少。
根据身份对代码、应用程序和工作负载进行身份验证,以确保其没有更改并被批准使用,这是我们今天和明天最好的选择。
我们需要将CrowdStrike 中断作为未来挑战的完美例子,而不是一个偶然的事件。
维护代码签名信任链可以帮助组织防止未经授权的代码执行,同时扩展其运营以跟上开发人员对人工智能和开源技术的使用。
在人工智能和开源既强大又不可预测的世界里,代码签名成为企业的基本防线。
但要实现这种保护,代码签名过程必须既强大又安全。这不仅仅是为了阻止恶意代码;组织需要确保每一行代码都来自可信来源,验证数字签名,并保证自签名以来没有被篡改过。
好消息是代码签名几乎无处不在;坏消息是,它往往没有得到可以帮助保证其安全的安全团队的保护。