کدنویسی خودکار شرکتها را به بازنگری امنیت و پلتفرم واداشته
در نشست PlatformCon لندن صدها مهندس و مدیر اعلام کردند از ابزارهای هوش مصنوعی برای نوشتن و بازبینی کد استفاده میکنند، اما تقریباً همه معتقدند سامانههای امنیتی فعلی توان پوشش ریسکهای ناشی از این کدها را ندارند. این تضاد یک پرسش عملیاتی و راهبردی مطرح میکند: اگر نتوان تولید سریع و امن کد مبتنی بر مدلها را تضمین کرد، ادامه شتاب کنونی منطقی است یا باید کنترلها را بازطراحی کرد؟
چه چیزی تغییر کرده است؟
لیز رایس از Isovalent اشاره کرد که سطح هدفگیری آسیبپذیریها تغییر کرده و اکنون بسیاری از خروجیهای مدلهای یادگیری ماشینی رفتار قابل پیشبینی ندارند. در چنین شرایطی لازم است گاردریلهایی برای محدودکردن رفتار مدلها تعریف شود تا سیستمها فقط در محدودههای قابل قبول عمل کنند. جو باگولی از Broadcom هم تأکید کرد مفهوم «روز صفر» در حال بازتعریف است و تمرکز بر شناخت دقیق اجزای نرمافزاری و وابستگیها — از جمله SBOM — جدیتر خواهد شد. اطلاعات تکمیلی درباره SBOM در صفحه ویکیپدیا موجود است: Software bill of materials.
AI‑BOM؛ از SBOM تا نقشهای برای مدلها
در نشست پیشنهاد شد مفهوم SBOM بهسمت یک «بیل مواد هوش مصنوعی (AI‑BOM)» توسعه یابد: فهرستی دقیق از اجزای غیرقابلپیشبینی مانند وزنهای مدل، نسخههای مجموعهدادههای آموزشی و رابطهای خارجی (API). AI‑BOM به شناسایی شکافهای زنجیره تأمین، مسمومسازی داده و ریسکهای انطباق حقوقی کمک میکند و برای مدیریت مؤثر مدلها ضروری به نظر میرسد.
سایه هوش مصنوعی و تولید ابزارهای جزیرهای
پدیده Shadow AI، مشابه Shadow IT، باعث افزایش تعداد ابزارهای محلی و غیررسمی در سازمانها شده است؛ بهعنوان مثال واحد منابع انسانی ممکن است دستیارهای هوش مصنوعی مستقل ایجاد کند. وقتی کاربران غیرفنی هم قادر به تولید کد یا عاملهای هوش مصنوعی میشوند، احتمال تولید نسخههای ناامن و نشت دادههای حساس افزایش مییابد. حتی مدلهای پیشرفته نیز تضمینی برای تولید کد ایمن ندارند؛ خطاها یا پیکربندیهای نادرست میتواند دادههای حساس را در معرض خطر قرار دهد.
پرسش حیاتی: آیا همه باید به پلتفرم توسعهدهنده داخلی متصل شوند؟
پاسخ ساده بهنظر میرسد: متمرکزکردن تولید کد روی یک پلتفرم توسعهدهنده داخلی (IDP) و پایش آن میتواند کنترل، استانداردسازی و امنیت را افزایش دهد. اما این رویکرد بار عملیاتی و فرهنگی قابل توجهی دارد و سوالهای اصلی شامل موارد زیر است:
- آیا باید کنترل مرکزی اعمال شود یا از رویکردهای سبکتر مثل قالبها و سیاستهای خودخدمت استفاده کرد؟
- چگونه میتوان CI/CD، اسکن وابستگیها و بررسیهای امنیتی را برای تولید خودکار کد تضمین کرد؟
- چه نقشی برای ابزارهای ردیابی زنجیره تأمین و AI‑BOM تعریف میشود؟
پیشنهادهای عملی برای تیمهای پلتفرم و امنیت
حاضرین در پنل و تحلیلگران صنعتی پیشنهادهایی عملی ارائه کردند که سازمانها میتوانند بلافاصله پیادهسازی کنند:
- تعریف AI‑BOM و ثبت وزن مدل، نسخه مجموعهدادهها و رابطهای ثالث در فهرستهای زنجیره تأمین.
- گسترش SBOM برای پوشش ابزارها و مدلهای مولد بهمنظور شناسایی دقیق وابستگیها از ابتدای چرخه توسعه.
- اجرای سیاستهای رویبوردینگ برای هر شخصی که از ابزارهای تولید کد استفاده میکند، نه فقط توسعهدهندگان.
- خودکارسازی اسکنهای امنیتی در خطوط CI/CD و افزودن مانیتورینگ رفتار مدلها پس از استقرار.
- آموزش و ارزیابی ریسک برای تیمهای غیرفنی درباره محرمانگی دادهها و پیامدهای امنیتی ابزارهای ساختهشده محلی.
چشمانداز پیش رو
سرعت و نوآوری ناشی از کدنویسی خودکار فرصت بزرگ است، اما بدون چارچوبهای فنی و مدیریتی مناسب میتواند مخاطرات جدی ایجاد کند. سازمانهایی که اکنون در تعریف AI‑BOM، توسعه SBOMهای کاملتر و طراحی پلتفرمهای امن پیشتاز شوند، در کوتاهمدت امنیت و در میانمدت مزیت رقابتی کسب خواهند کرد. انتخاب بین کنترل مرکزی یا توانمندسازی امن تیمها بیش از یک تصمیم فنی است؛ یک تصمیم راهبردی درباره نحوه کار شرکتها در آینده است. برای مطالعه بیشتر میتوانید گزارشهای تحلیلی را در The New Stack و مستندات شرکتها مانند Broadcom دنبال کنید.
