研发中出现安全问题该谁来负责？AI如何赋能研发的安全能力？

新闻业界

3月前

产品安全问题谁来负责？

在现代软件开发中，产品的安全性至关重要。然而，当产品出现安全问题时，责任应该归咎于谁？是研发部门的代码问题，还是安全人员的把关不严？责任的划分常常模糊不清，这不仅困扰着企业，也影响了产品的质量和市场竞争力。

研发与安全的协同难题

在实际操作中，研发和安全团队的协同工作存在不少困难。两者的目标不同：研发人员更关注代码的功能和实现效率，而安全团队则专注于发现和修复潜在的安全漏洞。这种目标上的差异，导致了沟通上的障碍和责任划分的不清晰。特别是在紧张的开发周期内，双方的沟通效率低下，责任不明确，使得安全问题更加难以解决。

安全责任应落实到人人

在安全问题上，合规要求是企业必须遵循的底线。然而，合规要求的不断提升，使得企业面临更大的压力。安全不仅是安全团队的责任，更应该是全员的责任。每一个开发人员都需要意识到安全的重要性并在编码过程中主动防范安全风险。然而，在实际操作中，这种全员负责的理念往往难以真正落实，导致安全隐患依然存在。

Devsecops 能使研发与安全的高效协作，但落地依然存在问题

为了提高研发与安全团队的协作效率，一些企业采用了一套流水线的流程，即devsecops开发模式。然而，这种模式在实际操作中存在效能等待的问题。安全检测常常需要大量时间，同时检测结果准确性低，而研发人员则在等待检测结果时无所事事，影响了整体开发效率。安全人员压力倍增，人手吃紧，难以实现开发安全闭环。

问题的根源：开发人员没有开发安全的能力，而传统工具误报和检测速度太慢

出现这些问题的根本原因在于现有的安全检测工具存在误报太多和扫描速度太慢的问题。大量的误报使得安全人员疲于应对，而过慢的扫描速度则无法跟上DevOps的敏捷开发节奏。此外，面对越来越严格的合规要求，企业更需要快速、准确的安全检测工具，以确保产品符合相关法规。但是从第一性原理出发，如果能够解决开发者的安全能力不足的问题，把安全从测试卡点左移到编码阶段，那修复代码的成本将会成倍下降。

AI能否为开发人员解决开发安全难题呢？可以

生成式人工智能引领了新一轮创新浪潮，有望帮助缓解软件开发和交付过程中许多繁琐且耗时的人工环节，从而加速 DevSecOps 工作流程，静态检测和组件检测技术又能在开发编码解决解决安全问题，实现安全左移，结合传统程序分析技术和人工智能大模型技术，将会使现有分析工具的可用性提升巨大。

根据IBM研究人员的数据统计，在产品发布后修复安全问题的成本是在设计阶段解决成本的4到5倍，而在运维阶段修复安全问题的成本则可能达到甚至超过100倍。软件工程学家卡珀斯·琼斯也指出，80%的软件缺陷发生在编码阶段，而在后端测试修复缺陷的成本是开发阶段的40倍。因此，从漏洞检测时效、修复效率和修复成本三个角度来看，「开发者安全智能助手」都将会带来一次全新的变革。

海云安的解决方案：基于AI赋能的开发者安全智能助手（D10）产品

为了解决这些问题，我们推出了先进的、由AI赋能开发者安全智能助手（D10）产品。通过应用最新的人工智能技术加上我们自有丰富的安全数据，训练出了智X大模型，融合自研的源代码、组件安全和质量的检测能力。

一般来说，绝大多数企业和组织的开发人员的基数要远远大于安全人员，而「开发者安全智能助手」能更好地把安全能力嵌入到开发者所熟悉的开发环境中，在开发者编写代码的过程中实时推荐更安全的编码建议，让开发者享受到更直接的安全能力加持。如果开发人员在代码编写之初便能够检测到代码安全性，那么整个企业IT团队的安全效能必将得到显著提升。

AI从哪些方面赋开发者：

（一）AI学习自动化误报判断，有效降低误报

传统静态应用程序安全测试（SAST）工具难以避免的存在较高的误报率，开发者安全智能助手通过大语言模型对源代码检测平台的检测结果进行自动化的误报判断，有效降低误报率。

（二）自动生成缺陷成因解释，降低理解门槛

传统的SAST产品对同类缺陷统一使用通用的缺陷描述，没有切合缺陷实际情况进行分析解释，使缺陷理解存在一定门槛；开发者安全智能助手通过大语言模型结合用户实际业务代码，生成针对性的缺陷成因解释，使用户可以更加直观地理解缺陷产生的原因，帮助用户更好地理解和解决问题。

（三）自动生成缺陷修复代码，高效修复问题

传统的SAST产品提供通用性的缺陷修复方案和修复代码示例，在用户实际修复时往往遇到修复方法使用不规范、修复示例简单笼统与复杂的实际情况不符等情况，导致用户并不确定缺陷是否被真实修复；开发者安全智能助手通过大语言模型结合缺陷的具体情况和上下文生成可直接应用于缺陷修复的代码修复方案，能够帮助用户更快速、高效地解决问题。