CEO JFrog на swampUP: «скоро всем будет плевать на исходники»

2 сентября Shlomi Ben Haim сказал залу из ~500 инженеров прямую вещь: в эпоху агентов точка контроля уезжает с исходников на бинарники.

Логика такая. Агенты уже пишут код быстрее, чем люди успевают его читать. Часть артефактов вообще не рассчитана на ревью глазами. DevSecOps, который сканирует репозиторий и требует «посмотри PR», в этот поток не влезает. Значит, доверять нужно тому, что реально едет в прод: подписанный бинарь, provenance, воспроизводимая сборка, возможность быстро подменить артефакт на проверенный.

Фраза провокационная и удобная для вендора, который живёт на артифактори. Но боль настоящая. Если Copilot аппрувит PR, агент пишет сервис за ночь, а junior вливает 800 строк, которые сам не сможет объяснить через месяц — SAST по src/ становится ритуалом. Атакующий тоже это понял: отравленный пакет и подмененный образ бьют сильнее, чем «неидеальный стиль» в .ts.

Обратная сторона: если команда перестаёт читать код, она перестаёт им владеть. Бинарь не расскажет, почему здесь eventual consistency, а не транзакция. Исходник как товар дешевеет. Как носитель смысла — нет.

У вас уже security смотрит в первую очередь на артефакт, или всё ещё на diff в GitHub?

Источник: DevOps.com
#supplychain #devsecops #jfrog #ai #binaries