원본 영상을 바탕으로 AI의 도움을 받아 작성했습니다. 원본 영상이 기준입니다.
Log in to leave a comment
아직 작성된 글이 없습니다
Открытый исходный код удобен, но несет в себе риски. Согласно исследованию 2025 года, с тех пор как ИИ начал писать код за людей, частота возникновения багов подскочила на 41% по сравнению с предыдущим годом. Для специалиста по безопасности, которому в одиночку приходится проверять десятки тысяч строк внешних библиотек, это сродни катастрофе. Прочитать весь код невозможно, поэтому нужно сделать ИИ своим союзником. Мы подготовили руководство по созданию умного рабочего процесса безопасности, который работает по принципу Project Glasswing.
Автоматизация проверки безопасности позволяет исключить более 10 часов рутинной повторяющейся работы в неделю. Она также предотвращает ошибки, которые человек может упустить при беглом просмотре. Попробуйте создать конвейер в среде GitHub Actions, который вызывает LLM API для сканирования в реальном времени при каждом Pull Request. Ключевая стратегия здесь — не просто задавать вопросы, а разделять процессы идентификации и аудита.
LLM_API_KEY в GitHub Secrets. Его следует хранить в зашифрованном хранилище Libsodium, чтобы предотвратить утечку ключа вовне.path-filter в настройках YAML, чтобы сканировать только критически важные директории, такие как src/auth или lib/core, инциденты в которых могут стать фатальными.После завершения этой настройки специалисту по безопасности останется лишь проверять краткие отчеты, подготовленные ИИ, вместо десятков тысяч строк кода.
Инструменты ИИ хорошо находят уязвимости, но при этом выдают много ложноположительных результатов. Если из 100 найденных проблем 15 окажутся ложными, команда разработки неизбежно будет раздражена. Чтобы не тратить ограниченные ресурсы разработки впустую, нужны критерии для выявления реальных угроз. Расставляйте приоритеты, комбинируя баллы CVSS 4.0 и показатели EPSS, которые показывают, происходят ли атаки на практике в данный момент.
Фокусировка только на критических уровнях (9.0 и выше) значительно повышает уровень безопасности. Сокращение лишних запросов на исправление также естественным образом уменьшит трения с командой разработки.
Предложенные ИИ исправления могут выглядеть идеально, но иногда они ломают работающий функционал. Такие компании, как Shopify, используют ИИ, но не доверяют сгенерированному коду вслепую. Необходимо внедрить процедуру автоматической проверки безопасности патч-кода в изолированных средах, таких как Firecracker или gVisor.
sbx CLI для запуска микро-VM с той же средой выполнения, что и у текущего сервиса.Наличие таких предохранителей предотвращает попадание на рабочий сервер кода, который «почти правильный», но содержит мелкие критические ошибки.
Не стоит ограничиваться исправлением только своего сервиса. Сообщать о дефектах самого используемого открытого ПО в родительский проект — также задача специалиста по безопасности. Мейнтейнеры — занятые люди, поэтому им нужно предоставлять четкие доказательства. Используйте каналы PVR на GitHub для ответственной передачи отчетов.
В заголовке четко укажите тип и местоположение уязвимости. Обязательно приложите пошаговый путь воспроизведения и скриншоты, которые сможет повторить каждый. Лучше всего — отправить вместе с отчетом код исправления, который вы ранее проверили в песочнице. Сокращение времени на проверку для мейнтейнера резко увеличивает шансы на принятие патча. Один грамотный отчет доказывает техническую экспертизу компании и может привести к получению официального номера CVE.