അല്ല് കോഡ് എഴുതുന്നു. ആരാണ് അത് പരിശോധിക്കുന്നത്?

നമ്മുടെ സംഭരണികളിലെ കോഡിന്റെ വളരുന്ന ഒരു ഭാഗം മനുഷ്യന് ടൈപ്പ് ചെയ്തിട്ടില്ല. AI അസിസ്റ്റന്റുമാർ ഫംഗ്ഷനുകൾ, ടെസ്റ്റുകൾ, ഡോക്കർ ഫയലുകൾ, ടെറഫോർം എന്നിവ എഴുതുന്നു. ഏജന്റുമാർ മുഴുവൻ പിൻവലിക്കൽ അഭ്യർത്ഥനകളും തുറക്കുന്നു. അത് ഉല്പാദനക്ഷമതയെ വൻതോതിൽ വർദ്ധിപ്പിക്കും.

കോഡ് വോള്യം കൂടുതലായതുകൊണ്ട് കൂടുതൽ കാര്യങ്ങൾ പരിശോധിക്കേണ്ടിവരും, പക്ഷെ ലഭ്യമായ സമയം മാറ്റമില്ല. കൂടാതെ, AI സൃഷ്ടിച്ച കോഡിന് അതിന്റേതായ പിശകുകളുണ്ട്. അതുകൊണ്ട് പൈപ്പ് ലൈനിന് കൂടുതൽ പരിശോധന നടത്തണം.

പുതിയ അപകടസാധ്യതകൾ ലളിതമായി

സുരക്ഷിതമല്ലാത്ത പാറ്റേണുകൾ, എല്ലാം ശരിയായി കാണപ്പെടുന്നു. പൊതു കോഡിൽ നിന്നും AI പഠിച്ചു, പൊതു കോഡിന്റെ ഒരു വലിയ ഭാഗം സുരക്ഷിതമല്ല. സ്ട്രിങ്ങുകളിൽ നിന്നും നിർമ്മിച്ച SQL, TLS പരിശോധന പ്രവർത്തനരഹിതമാക്കി, അനുമതികൾ വളരെ വിശാലമാണ്, കോൺഫിഗറേഷൻ ഫയലുകളിലെ രഹസ്യങ്ങൾ.

കാലഹരണപ്പെട്ട ഉപദേശം. കാലഹരണപ്പെട്ട API കൾ, അറിയപ്പെടുന്ന ദുർബലതകളുള്ള പഴയ ലൈബ്രറി പതിപ്പുകൾ, നീക്കം ചെയ്ത API പതിപ്പുകൾ ഉപയോഗിച്ച് Kubernetes പ്രകടനങ്ങൾ.

ഹാലുസിനേഷൻ ആശ്രിതത്വം. ഇ. ഐ. പറയുന്നത് ശരിയായി തോന്നുന്ന ഒരു പാക്കേജ് ഇറക്കുമതി ചെയ്യണം എന്നാണെങ്കിലും അത് നിലവിലില്ല.

ലൈസൻസ് പ്രശ്നങ്ങള് . നിയന്ത്രിത ലൈസൻസിനു കീഴിലുള്ള കോഡിന് വളരെ സാമ്യമുള്ള കോഡ് സൃഷ്ടിച്ചു.

വലിയ മാറ്റങ്ങൾ, കുറവ് അവലോകനം. കോഡ് സൃഷ്ടിക്കുന്നത് എളുപ്പമാണെങ്കിൽ, വലിച്ചെടുക്കൽ അഭ്യർത്ഥനകൾ വലുതായിത്തീരുന്നു, വലിയ വലിച്ചെടുക്കല് അഭ്യർത്ഥനങ്ങൾ മോശമായ അവലോകനങ്ങൾ നേടുന്നു.

"സ്ലോപ്സ്ക്വാറ്റിംഗ്": ഒരു AI കണ്ടുപിടിച്ച ഒരു പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുക

ഇത് പുതിയതും വഞ്ചനാപരവുമാണ്.

ഭാഷാ മോഡലുകൾ ചിലപ്പോൾ പാക്കേജ് പേരുകൾ കണ്ടുപിടിക്കുന്നു. വിശ്വസനീയമായവ, requests-oauth-helper അല്ലെങ്കില് express-secure-session. ഗവേഷകർ ശ്രദ്ധിച്ചത് ഒരേ കെട്ടിച്ചമച്ച പേരുകൾ തന്നെ പലതവണ പ്രത്യക്ഷപ്പെടുന്നു എന്നാണ്. ആക്രമണകാരികള് ക്ക് ആ പേരുകൾ npm-ലോ PyPI-യിലോ രജിസ്റ്റര് ചെയ്യാം, എന്നിട്ട് അവയെ ക്ഷുദ്രവെയറുകളുമായി പൂരിപ്പിക്കാം. ഒരു ഡെവലപ്പർ, അല്ലെങ്കിൽ ഒരു ഏജന്റ്, നിർദ്ദേശത്തെ വിശ്വസിക്കുകയും പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുകയും ചെയ്യുമ്പോൾ, ആക്രമണകാരിയുടെ കോഡ് പ്രവർത്തിക്കുന്നു.

ഇത് ടൈപ്പ് ക്വാട്ടിംഗിന്റെ ഒരു വകഭേദം ആണ്, സമൂഹം അതിനെ കുലുങ്ങൽ.

ഒരു പാക്കേജ് നിർദ്ദേശിക്കുന്ന ഒരു AI ഒരു ശുപാർശയല്ല. അത് ഒരു ഊഹമാണ്, ആക്രമണകാരികൾ ആ ഊഹങ്ങളിലാണ് വാതുവെക്കുന്നത്.

ഞാന് ഈ പൈപ്പ് ലൈനില് ചേര് ക്കുന്ന ചെക്കുകള്

ഇവയ്ക്കെല്ലാം വിചിത്രമായ ഉപകരണങ്ങൾ ആവശ്യമില്ല. ഇതിന് സാധാരണ DevSecOps ടൂൾബോക്സ് വേണം, ശരിക്കും ഓണാക്കി നടപ്പിലാക്കുക:

• ആശ്രിതത്വം പരിശോധന. അറിയപ്പെടുന്ന അപര്യാപ്തതകൾക്കായി സോഫ്റ്റ്വെയർ ഘടന വിശകലനം (ഡെപൻഡാബോട്ട് അലേർട്ടുകൾ, ഒഎസ്വി-സ്കാനർ, സ്നൈക്ക്, ട്രിവി). കൂടാതെ സോക്കറ്റ് പോലുള്ള ഉപകരണങ്ങളും സംശയകരമായ പാക്കേജുകളെ അടയാളപ്പെടുത്തുന്നു. പുതിയത്, കുറച്ച് ഡൌൺലോഡുകൾ, സ്ക്രിപ്റ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക.
• പുതിയ ആശ്രിതത്വങ്ങൾക്കുള്ള ഒരു നയം. പുതിയ പാക്കേജ് ചേർക്കുന്നത്, പിൻവലിക്കൽ അഭ്യർത്ഥനയിൽ ദൃശ്യമാകണം, ഒരു മനുഷ്യ രൂപം നേടുക. ചില ടീമുകൾ ഒരു ആന്തരിക പ്രോക്സി അല്ലെങ്കിൽ രജിസ്ട്രിയിൽ നിന്നുള്ള പാക്കേജുകൾ മാത്രമേ അനുവദിക്കുന്നുള്ളൂ.
• സ്റ്റാറ്റിക് വിശകലനം (SAST). സെംഗ്രെപ്, കോഡ് ക്യു എൽ, അല്ലെങ്കിൽ സമാനമായവ, സുരക്ഷിതമല്ലാത്ത ക്രിപ്റ്റോ, അപകടകരമായ പ്രവർത്തനങ്ങൾ.
• രഹസ്യ സ്കാനിംഗ് ഓരോ പുഷ്, പുഷ് സംരക്ഷണം ലഭ്യമാണ് എവിടെ.
• ഐ. എ. സി. സ്കാനിംഗ്. ടെറാഫോർം, കുബർനെറ്റ്സ് മാനിഫെസ്റ്റുകൾക്കുള്ള ചെക്കോവ്, ട്രിവി അല്ലെങ്കിൽ ടിഫ്ലിന്റ്: തുറന്ന സുരക്ഷാ ഗ്രൂപ്പുകൾ, പ്രത്യേക അവകാശമുള്ള കണ്ടെയ്നറുകൾ, എൻക്രിപ്ഷൻ നഷ്ടമായി.
• ലൈസൻസ് സ്കാനിംഗ് നിങ്ങളുടെ കമ്പനി ലൈസന്സിന്റെ പാലനം ശ്രദ്ധിക്കുന്നുണ്ടെങ്കിൽ.
• പരിശോധനകൾ, ആവശ്യമായി വന്നിരുന്നു. തെറ്റായ കോഡിനെതിരെ ഏറ്റവും നല്ല പ്രതിരോധം പരാജയപ്പെട്ട ഒരു പരീക്ഷണം ആണ്.

അവലോകനം ചെയ്യേണ്ടിവരുമ്പോൾ അവലോകനം ചെയ്യുക

ഉപകരണങ്ങള് പാറ്റേണുകള് പിടിക്കുന്നു. മനുഷ്യര് ക്ക് ഇപ്പോഴും യുക്തി മനസ്സിലാക്കണം. ചില ശീലങ്ങൾ സഹായിക്കും:

• പിൻവലിക്കൽ അഭ്യർത്ഥനകൾ ചെറുതായി സൂക്ഷിക്കുക, എഐ വലിയവ എളുപ്പമാക്കുന്നു പോലും. ഏജന്റുവിനോട് ജോലി വിഭജിക്കാന് പറയൂ.
• AI സൃഷ്ടിച്ച മാറ്റങ്ങൾ അടയാളപ്പെടുത്തുക അതുകൊണ്ട് നിരൂപകർ കൂടുതൽ ശ്രദ്ധയോടെ നോക്കണം. ചില ടീമുകൾ ഒരു ലേബല് ഉപയോഗിക്കുന്നു അല്ലെങ്കിൽ ട്രെയിലര് കമ്മിറ്റ് ചെയ്യുന്നു.
• ആദ്യം പരിശോധനകൾ പരിശോധിക്കുക. പരിശോധന ദുർബലമാണെങ്കില് , അത് പാസാക്കുന്ന കോഡ് വളരെ കുറവാണ്.
• ഓരോ പുതിയ ആസക്തിക്കും "എന്തിനാണ്" എന്ന് ചോദിക്കുക.
• AI യുടെ സ്വന്തം കോഡ് ഒറ്റയ്ക്ക് അവലോകനം ചെയ്യാൻ അനുവദിക്കരുത്. AI അവലോകന ഉപകരണങ്ങൾ ഉപയോഗപ്രദമായ ഒരു കൂട്ടം കണ്ണുകളാണ്, മനുഷ്യന്റെ അംഗീകാരത്തിന് പകരം വയ്ക്കാനല്ല.

ആര് അത് പരിശോധിക്കും?

പൈപ്പ്ലൈനിന് അത് ഓട്ടോമാറ്റിക്കായി പരിശോധിക്കാം, ഒരു മനുഷ്യന് ശരിക്കും പ്രധാനപ്പെട്ടത് പരിശോധിക്കും. അത് എപ്പോഴും ഇങ്ങനെ തന്നെയായിരുന്നു. AI അത് കൂടുതൽ ബുദ്ധിമുട്ടാക്കുന്നു കാരണം കൂടുതൽ കോഡുകൾ ഉണ്ട്, വേഗത്തിൽ എഴുതിയിരിക്കുന്നു, ഒരിക്കലും മടിക്കാത്ത എന്തെങ്കിലും.

എന്റെ അഭിപ്രായം: AI ക്ക് കോഡ് എഴുതാം. നിങ്ങളുടെ പൈപ്പ് ലൈനും അവലോകകരും അത് കയറ്റി അയക്കാനുള്ള അവകാശം നേടിയെടുക്കണം.

ഡെസ്ലി