AI-assistenter för kodning är inte längre experimentella: hos organisationer som har infört dem står AI för ungefär hälften av den kod som checkas in. Men enligt Chris Wysopal, Chief Security Evangelist på Veracode, som skriver för TechRadar, är säkerheten i den genererade koden svagare även om den klarar syntaxkontroller.
Wysopal anger en godkännandegrad på 99,9% för syntaktiskt korrekt kod, jämfört med en genomsnittlig säkerhetsgrad på 56%. Han uppger att ungefär 44% av de testade kodgenereringsuppgifterna leder till en känd sårbarhet. Sårbarheter i programvara är också den främsta ingången vid intrång, med 31%, före stulna inloggningsuppgifter.
Säkerhetsresultaten varierar mellan modeller och sårbarhetstyper. Den starkaste testade modellen nådde en säkerhetsgrad på 68%, medan sex av 11 modeller fick mellan 50% och 53%. Modellerna klarade tester för SQL-injektion med 83% och osäkra kryptografiska algoritmer med 87%, men nådde 15% för cross-site scripting och 12% för logginjektion.
Wysopal anser att organisationer bör väga in risk när de väljer modeller och kontrollera genererad kod i applikationens sammanhang under hela utvecklingen. Han pekar på statisk analys, bindande säkerhetspolicyer, kontextuell analys och oberoende tester för att hitta problem innan koden slås ihop.
Han uppger också att 82% av organisationerna påverkas av säkerhetsskuld och att 60% har kritisk säkerhetsskuld. Wysopal rekommenderar att åtgärder prioriteras utifrån exploaterbarhet, applikationens kritikalitet och affärspåverkan. AI-föreslagna korrigeringar behöver fortfarande testas och valideras. Slutsatsen i artikeln är att företag behöver dokumentera vad som testats, åtgärdats och medvetet accepterats innan AI-genererad kod når produktion.
Kommentarer
0Inga kommentarer ännu. Skriv den första.