生成 AI はコードを修正してくれると信頼できますか?

世界中の組織が、自社のサイバーセキュリティ プログラムやツールに AI テクノロジーを導入しようと競い合っています。 あ 開発者の大多数 (65%) 使用するか計画する テスト作業で AI を使用する 今後 XNUMX 年間で。 生成 AI の恩恵を受けるセキュリティ アプリケーションは数多くありますが、コードの修正もその XNUMX つでしょうか?

多くの DevSecOps チームにとって、生成 AI は増大する脆弱性のバックログを解消するための聖杯です。 半分をはるかに超える (66%) の組織は、バックログに 100,000 件を超える脆弱性が含まれており、静的アプリケーション セキュリティ テスト (SAST) で報告された調査結果の XNUMX 分の XNUMX 以上が、検出後 XNUMX か月たっても未解決のままです。 50 日後も 363% は開いたまま。 夢は、開発者が ChatGPT に「この脆弱性を修正してください」と要求するだけで、これまで脆弱性の修正に費やしていた時間や日数が過去のものになることです。

理論的には、これはまったくおかしなアイデアではありません。 結局のところ、機械学習はプロセスを自動化し、時間を節約するためにサイバーセキュリティ ツールで長年にわたって効果的に使用されてきました。AI は、単純で反復的なタスクに適用すると非常に有益です。 しかし、実際には、生成 AI を複雑なコード アプリケーションに適用するにはいくつかの欠陥があります。 人間の監視と明示的な指示がなければ、DevSecOps チームは解決するよりも多くの問題を引き起こす可能性があります。

コードの修正に関連する生成 AI の利点と制限

AI ツールは、シンプルで低リスクのサイバーセキュリティ分析、監視、さらには修復のニーズに対応する非常に強力なツールとなり得ます。 リスクが重大になると懸念が生じます。 これは最終的には信頼の問題です。

研究者と開発者は、新しい生成 AI テクノロジーの機能をまだ検討中です。 複雑なコード修正を生成する。 生成 AI は、意思決定を行うために既存の利用可能な情報に依存します。 これは、コードをある言語から別の言語に翻訳したり、既知の欠陥を修正したりする場合に役立ちます。 たとえば、ChatGPT に「この JavaScript コードを Python で書いてください」と依頼すると、おそらく良い結果が得られます。 これを使用してクラウド セキュリティ構成を修正すると、そのための関連ドキュメントが公開され、簡単に見つけられ、AI が簡単な指示に従うことができるため、役立ちます。

ただし、ほとんどのコードの脆弱性を修正するには、一連の固有の状況と詳細に基づいて行動する必要があり、AI がナビゲートするためのより複雑なシナリオが導入されます。 AI は「修正」を提供するかもしれませんが、検証がなければ信頼すべきではありません。 定義上、生成 AI はまだ知られていないものを作成することはできず、偽の出力をもたらす幻覚を経験する可能性があります。

最近の例では、弁護士が ChatGPT を使用して、AI ツールがでっち上げた XNUMX つの存在しない事件を引用した裁判所への提出書類の作成を支援した後、深刻な結果に直面しています。 AI が存在しないメソッドを幻覚させ、そのメソッドをコードの作成に適用した場合、コンパイルできない「修正」に時間を無駄にすることになります。 さらに、OpenAI によると、 GPT-4 ホワイトペーパー、新しいエクスプロイト、ジェイルブレイク、および新たな動作は時間の経過とともに発見され、防ぐのが困難になります。 したがって、AI セキュリティ ツールとサードパーティ ソリューションが精査され、システムへの意図しないバックドアにならないように定期的に更新されるようにするには、慎重な検討が必要です。

信頼するか、信頼しないか?

ゼロトラスト運動の最盛期に生成 AI の急速な導入が進むのを見るのは、興味深い力関係です。 サイバーセキュリティ ツールの大部分は、組織は決して信頼すべきではなく、常に検証すべきであるという考えに基づいて構築されています。 生成 AI は、既知および未知のソースから利用できる情報に対する固有の信頼の原則に基づいて構築されています。 この原則の衝突は、セキュリティと生産性の間の適切なバランスを見つける際に組織が直面する永続的な闘争の適切な比喩のように思えますが、この闘争は現在特に悪化していると感じられます。

生成 AI はまだ DevSecOps チームが期待していた聖杯ではないかもしれませんが、脆弱性のバックログを減らす上で段階的に進歩するのに役立ちます。 現時点では、簡単な修正を行うために適用できます。 より複雑な修正の場合は、コードを作成して所有する開発者の知識に基づいて AI の力を活用する、信頼性の検証方法を採用する必要があります。

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• PlatoData.Network 垂直生成 Ai。 自分自身に力を与えましょう。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• プラトンESG。 自動車/EV、 カーボン、 クリーンテック、 エネルギー、 環境、 太陽、 廃棄物管理。 こちらからアクセスしてください。
• ブロックオフセット。 環境オフセット所有権の近代化。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/application-security/can-generative-ai-be-trusted-to-fix-your-code-