作者:JFrog 大中华区和日本地区总经理 董任远
随着人工智能/机器学习(AI/ML)及大型语言模型(LLM)技术的快速发展,软件开发领域正在发生日新月异的变化。根据***近一项对全球1200名技术专业人士的调查发现,超过90%的高管表示他们的团队在软件应用中使用ML模型,88%的高管表示AI/ML工具被集成到他们的安全扫描和漏洞修复流程中。随着LLM的日益普及,将AI和ML集成到软件产品中的趋势成为越来越多***的关注焦点。这一趋势在推动行业创新的同时,也带来了不容忽视的安全风险,尤其是当***缺乏资源来全天候确保安全开发实践时,安全隐患尤为显著。
在网络安全领域,安全疏忽可能导致恶意代码插入到AI/ML模型中等后果。安全无小事,任何漏洞都可能为网络犯罪分子提供可乘之机,使其分发被破解的开源软件(OSS)模型,进而入侵企业内网并造成巨大的经济和声誉损失。
此外,生成式AI在代码编写中的广泛应用,虽提升了效率,然而在快节奏的开发环境中,***往往难以全面审核生成代码的安全性,这也带来了新的安全隐患。为了应对这些挑战,从代码生成的那一刻起,就必须实施严格的安全审查,深入***二进制级别,以防范潜在的软件供应链安全风险。
面对这些持续升级的安全挑战,其严峻性随着网络犯罪分子不断寻找AI/ML技术的***新漏洞而日益加剧。因此,***必须主动出击,将安全措施深度融入工作流程的每一个环节,自项目之初便构建起坚固的安全防线,守护企业的软件供应链安全。
在此过程中,除了开发团队需肩负重任外,全员参与、共筑安全防线同样***关重要。通过持续的安全教育与培训,提升***的安全意识,并将这份安全意识传递给每位员工,使每位员工都能成为企业安全防线的守护者。随着AI和ML技术的发展,当企业的每一个员工都能紧跟安全技术的***新步伐时,每个人都将从中受益。
实现开发人员的角色升级
对于***而言,在软件生命周期的初期考虑安全性仍是一个相对较新的做法,常规情况下,***往往在软件开发的后期才考虑安全性问题。很多时候,二进制层面的安全性被视为“锦上添花”而非“必不可少”。而恶意攻击者正是利用这一疏忽,寻找将ML模型“武器化”以对抗企业安全措施的方法,并设法将恶意逻辑注入到***终的二进制文件中。
此外,许多***在开发早期阶段并未接受将安全性嵌入代码所需的必要培训。这带来的主要影响是,由AI在开源仓库上训练生成的代码往往没有得到充分的漏洞审查,且缺乏全面的安全控制来保护用户和企业免受攻击。虽然这种做法可能在短期内为***节省了时间和资源,但***却在不知不觉中使企业暴露于来自企业外部的众多风险之中。一旦代码被应用到AI/ML模型中,这些漏洞的影响就会更加显著,甚***可能逃过检测。
值得注意的是,九成专业人士表示他们的企业正在利用AI/ML技术进行安全扫描和漏洞修复工作。这一趋势表明,传统的***角色已经难以应对日益复杂的安全挑战。因此,***也必须成为安全专家,通过在开发初期就构建安全解决方案,***不仅能提升关键工作流程的效率,还能为整个企业的安全性奠定坚实基础。
为了实现这一目标,企业应加大对***的定期培训投入,并提供必要的资源支持,帮助他们及时掌握***新的安全威胁和应对策略。同时,加强开发团队与安全团队之间的协作也***关重要,从而确保安全措施能够无缝融入开发流程之中。这种跨部门的合作不仅有助于提升AI/ML模型的安全性,还能构建起更加坚固的防御体系。将安全性贯穿于开发过程的每一个环节,将成为确保AI/ML技术安全、稳定部署的关键所在。
“左移”策略——应被优先考虑的早期安全措施
随着不同团队持续大规模应用AI,ML模型中的***安全性变得***关重要。 “左移”策略应运而生,它主张在软件开发生命周期的早期就集成安全措施,抢先一步从多角度预防未来的安全漏洞,同时确保整个开发过程中的全面安全性。在AI/ML开发过程中,这一策略尤为重要,甚***在部署之前就要确保代码和模型的安全性和合规性,因为这些代码和模型往往来自外部来源,有时可能无法完全信任。
随着AI和ML成为软件开发不可或缺的核心部分,制定强大的安全政策、落实并提供相应的培训变得***关重要。***必须将他们的编码专业知识与深厚的安全知识结合起来,以便在开发过程的早期阶段解决关键漏洞隐患。通过“左移”策略,在整个软件生命周期中从初期就持续确保安全措施的部署,企业可以进一步增强与客户和员工的信任感,降低风险,并保护其免受复杂的网络威胁的骚扰。
###
关于JFrog
JFrog Ltd.(纳斯达克股票代码:FROG)的使命是创造一个从开发人员到设备之间畅通无阻的软件交付世界。秉承“流式软件”的理念,JFrog软件供应链平台是统一的记录系统,帮助企业快速安全地构建、管理和分发软件,确保软件可用、可追溯和防篡改。集成的安全功能还有助于发现和抵御威胁和漏洞并加以补救。JFrog 的混合、通用、多云平台可以作为跨多个主流云服务提供商的自托管和SaaS服务。全球数百万用户和7200多名客户,包括大多数财富100强企业,依靠JFrog解决方案安全地开展数字化转型。一用便知!如欲了解更多信息,请访问jfrogchina.com或者关注我们的微信官方账号:JFrog捷蛙。
还没有评论,来说两句吧...