Исследователи выяснили, что главный риск при использовании ИИ-агентов сегодня связан не с самим сгенерированным кодом, а с безопасностью цепочки поставки ПО: зависимостями, настройками CI/CD, контейнерами и другими компонентами процесса разработки.
Главное:
🎱82,3% всех проблем были связаны с безопасностью цепочки поставки ПО.
🎱38,9% пул-реквестов, созданных ИИ-агентами, содержали как минимум один потенциально опасный паттерн.
🎱 99,6% критических проблем были связаны с секретами в коде: ключами доступа, токенами и другими учетными данными. При этом 67,6% реальных утечек секретов произошли из-за действий разработчиков, работавших вместе с ИИ-агентами.
Когда ИИ-агент пишет код, он работает не только с исходными файлами. Он взаимодействует с зависимостями, контейнерами, пайплайнами сборки, секретами и внешними сервисами. Именно поэтому сегодня основной риск смещается в сторону цепочки поставки ПО. Если компания контролирует только результат работы ИИ, но не проверяет весь процесс его создания, она оставляет без внимания наиболее уязвимую часть разработки. Под контролем должна находиться вся цепочка поставки ПО. Иначе скорость разработки будет сопровождаться таким же быстрым распространением ошибок и уязвимостей.
— отмечает Юрий Шабалин, директор по развитию безопасных технологий ИИ Swordfish Security.
Что делать?
✅ Проверять изменения, созданные ИИ-агентами, до добавления в основной код.
✅ Усилить контроль за настройками сборки, зависимостями и компонентами цепочки поставок ПО.
✅ Автоматически искать секреты и небезопасные настройки на ранних этапах разработки.
🐟 Рассылка | МАКС | Habr
#ЦифраДня #AISecurity