EVERYTHING
За даними Devops, результати опитування 2350 розробників, CISO та менеджерів з безпеки додатків демонструють тривожну тенденцію: швидке масштабування AI-технологій не супроводжується відповідним зміцненням протоколів безпеки. Хоча інтеграція інструментів штучного інтелекту стала стандартом для 96% респондентів, фактичне використання згенерованого коду в продакшні сягнуло 49%. Це створює нові виклики для модерації та перевірки якості програмних продуктів у реальному часі.
Зростання технічного боргу та безпекових ризиків
Аналіз свідчить, що розробники витрачають у середньому 49% свого робочого часу на вирішення проблем безпеки. При цьому лише 18% фахівців використовують постійне сканування коду під час його написання. Більш тривожним є те, що 93% організацій визнали факт витоку даних або інцидентів безпеки як прямий наслідок використання вразливих додатків, розроблених власною командою. При цьому 75% респондентів відкрито зізналися, що іноді або часто деплоять код із відомими вразливостями.
Основні причини випуску небезпечного коду включають:
- Віру в те, що існуючі засоби контролю зможуть нівелювати ризики;
- Сподівання на те, що вразливість не буде виявлена зовнішніми сторонами (30%);
- Необхідність дотримання дедлайнів бізнесу, функціональних вимог або графіків релізу (27%).
Проблеми масштабування та вплив AI на кібербезпеку
Ситуація ускладнюється тим, що відкрите програмне забезпечення становить у середньому 59% коду в продуктових середовищах, значна частина якого містить критичні помилки. Jonathan Rende, chief product officer для Checkmarx, зазначає: «Опитування чітко показує, що надто багато організацій не забезпечують суворе дотримання найкращих практик DevSecOps. Через постійний акцент на швидкому створенні нових функцій багато команд розробки фактично підставляються під невдачу». Він також додає, що з розвитком передових моделей AI стає простіше як знаходити вразливості, так і створювати шкідливе ПЗ для їх експлуатації.
Статистика підтверджує системний характер проблеми: лише 9% компаній повідомляють про виправлення понад 90% вразливостей протягом 90 днів. Більше чверті респондентів (28%) не можуть усунути навіть половину знайдених проблем за цей термін. Хоча 73% організацій оцінюють свій стан безпеки як високий або просунутий, майже половина з тих, хто відзначив високу зрілість процесів, зіткнулися з трьома або більше інцидентами безпеки протягом останніх 12 місяців. Це свідчить про те, що технічний борг у сфері безпеки накопичується швидше, ніж будь-хто очікував.
Отже, інтеграція AI без супровідної трансформації культури DevSecOps призводить до експоненціального зростання ризиків для бізнесу.