Rapora göre yapay zekâ ile kodlama yazılım güvenliğindeki açığı büyütüyor

Yapay zekâ destekli kodlama araçları artık deneysel değil: Bu araçları benimseyen kuruluşlarda, yazılan kodun yaklaşık yarısından yapay zekâ sorumlu. Ancak TechRadar için yazan Veracode Baş Güvenlik Uzmanı Chris Wysopal'a göre, üretilen kod sözdizimi denetimlerini geçebilse de güvenlik performansı daha zayıf.

Wysopal, sözdizimi bakımından doğru kod için %99,9'luk bir başarı oranı bildirirken ortalama güvenlik başarı oranının %56 olduğunu belirtiyor. Test edilen kod üretimi görevlerinin yaklaşık %44'ünün bilinen bir güvenlik açığı oluşturduğunu söylüyor. Yazılım güvenlik açıkları, çalınan kimlik bilgilerini geride bırakarak %31 ile ihlallerin başlıca giriş noktası hâline geldi.

Güvenlik sonuçları modele ve güvenlik açığının türüne göre değişiyor. Test edilen en güçlü modelin güvenlik başarı oranı %68 oldu; 11 modelden altısı %50 ile %53 arasında puan aldı. Modeller SQL enjeksiyonu testlerinde %83, güvenli olmayan kriptografik algoritmalar testlerinde %87 başarı sağladı; siteler arası komut dosyası çalıştırmada bu oran %15, günlük enjeksiyonunda ise %12'ye düştü.

Wysopal, kuruluşların model seçerken riski dikkate alması ve üretilen kodu geliştirme boyunca uygulama bağlamında doğrulaması gerektiğini savunuyor. Kod birleştirilmeden önce sorunları bulmak için statik analizi, uygulanabilir güvenlik politikalarını, bağlamsal analizi ve bağımsız testleri işaret ediyor.

Ayrıca kuruluşların %82'sinin güvenlik borcundan, %60'ının ise kritik güvenlik borcundan etkilendiğini belirtiyor. Wysopal, düzeltme çalışmalarının istismar edilebilirlik, uygulamanın kritikliği ve iş etkisine göre önceliklendirilmesini öneriyor; yapay zekânın önerdiği düzeltmelerin de test edilip doğrulanması gerektiğini söylüyor. Makalenin vardığı sonuç, şirketlerin yapay zekâ tarafından üretilen kod üretime ulaşmadan önce nelerin test edildiğine, düzeltildiğine ve bilerek kabul edildiğine dair kanıt tutması gerektiği.