ИИ ускоряет поиск уязвимостей, но замедляет их устранение

ИИ ускоряет обнаружение уязвимостей, но замедляет их устранение

Искусственный интеллект (ИИ) трансформирует процесс поиска уязвимостей в программном обеспечении. Он анализирует код, генерирует отчеты об ошибках и предлагает исправления. Однако скорость принятия решений и внедрения этих исправлений организациями отстает от темпов развития ИИ. Это создает новый вызов для команд безопасности, требуя пересмотра подходов к управлению уязвимостями.

Продукты ИИ анализируют код и предлагают исправления

Современные инструменты на базе ИИ способны анализировать большие объемы кода, выявлять потенциальные уязвимости и даже генерировать предложения по их устранению. Google сообщает, что до 75% нового кода создается с помощью ИИ. Аналитика GitClear указывает, что до 25% коммитов содержат помощь ИИ. Тем не менее, изменения, внесенные ИИ, могут непреднамеренно изменять поведение приложений, не устранять уязвимость или создавать новые слабые места. Человеческий контроль остается критически важным для проверки и утверждения предлагаемых ИИ исправлений.

Команды безопасности сталкиваются с ростом числа уязвимостей

Команды по управлению уязвимостями теперь обрабатывают большее количество найденных ошибок и сталкиваются с сокращением окон для их устранения. Пример — уязвимость PHP2Shell, атаки на которую произошли до официального раскрытия информации. Команды по безопасности приложений оценивают модели ИИ для обнаружения уязвимостей в коде, избегая привязки к одному поставщику или модели. Для этого они экспериментируют с различными инструментами, такими как VulnHunter от Capital One и MDASH от Microsoft. Команды разработки и продуктов получают сгенерированные ИИ отчеты и предложения по исправлению наравне с новыми функциями и дефектами. Команды безопасности операций несут остаточный риск, когда устранение уязвимости задерживается.

Проверка исправлений становится узким местом

Люди пока не доверяют ИИ полное автоматическое исправление и внедрение изменений без человеческого надзора. Это привело к появлению новых проектов, таких как OASIS от OWASP, которые геймифицируют процесс проверки предложенных ИИ исправлений. Проверка становится новым узким местом в процессе улучшения безопасности. Ожидается, что зависимость от ИИ для исправления кода столкнется с трудностями. Forrester прогнозирует, что в 2027 году ошибка или регрессия, сгенерированная ИИ, вызовет глобальный сбой в нескольких отраслях. Успешная стратегия устранения уязвимостей с помощью ИИ должна делать акцент на устойчивости, а не на объеме.

Контекст помогает в приоритизации уязвимостей

Знание того, какие системы доступны, какие из них находятся под наблюдением, какие поддерживают критически важные сервисы для клиентов, какие средства контроля действительно работают и где простой недопустим, является преимуществом перед злоумышленниками. Масштабирование контекста вместе с обнаружением уязвимостей позволяет улучшить приоритизацию. Организации должны использовать ИИ для повышения прозрачности и оптимизации процессов приоритизации, чтобы люди могли одобрять необходимые шаги по устранению и проактивно управлять безопасностью.