北京
“我們的CI/CD管道里集成了AI靜態(tài)分析工具，結(jié)果它直接放過了一個(gè)SQL注入漏洞，生產(chǎn)環(huán)境被嚴(yán)重攻破了。”一位開發(fā)者最近在項(xiàng)目復(fù)盤時(shí)寫下的這句話，讓他開始重新打量代碼安全中人工智能的角色和能力邊界。他的經(jīng)歷像一個(gè)切面，把那些被智能工具宣傳遮住的問題，一件件抖在了紙面上。
事情倒回集成階段。AI驅(qū)動(dòng)的分析工具一接入管線，團(tuán)隊(duì)里幾乎所有人都松了口氣。它在成千上萬行代碼里掃出已知漏洞和危險(xiǎn)模式，速度快得驚人，給出的第一輪警告總能讓開發(fā)者提前掐掉不少隱患。但這一切在SQL注入繞過檢測、數(shù)據(jù)被拖走的那一刻被打上了問號(hào)。追溯發(fā)現(xiàn)，那條漏洞利用的是一個(gè)全新的技術(shù)組合，在任何訓(xùn)練集中都沒出現(xiàn)過。
這就是AI的第一個(gè)軟肋：它只在訓(xùn)練數(shù)據(jù)里找答案。安全領(lǐng)域用到的模型，大多喂過海量代碼庫、公開的CVE條目、漏洞利用樣本和最佳實(shí)踐，所以它對反復(fù)出現(xiàn)的弱代碼模式極其敏感。可一旦漏洞挾持一種從未露臉的手法，或者幾種看似無關(guān)的配置被首次串在一起，模型就很容易茫然。這位開發(fā)者自己副業(yè)產(chǎn)品的金融計(jì)算器也遇到過類似尷尬：全球新監(jiān)管規(guī)則引發(fā)了一個(gè)此前從未在數(shù)據(jù)集中出現(xiàn)過的計(jì)算錯(cuò)誤，模型只給了個(gè)“意外數(shù)據(jù)格式”的標(biāo)簽，卻死活揪不出根因。對他來說，那是耗上好幾天手動(dòng)排查才逮住的。
這揭示出一條清晰的界線：AI擅長搞定“已知的已知”，面對“未知的未知”卻幾乎毫無招架之力。它生成的報(bào)告再漂亮，也只能當(dāng)成排查的起點(diǎn)，想把訓(xùn)練盲區(qū)里的罕見漏洞和從未見過的攻擊鏈路堵上，必須由人去做更深入的分析，在推到生產(chǎn)環(huán)境之前再做一輪審視。
比訓(xùn)練數(shù)據(jù)更隱蔽的短板，藏在“理解”二字上。代碼安全從來不是只檢查語法錯(cuò)誤或已知缺陷，它要求認(rèn)清應(yīng)用程序的業(yè)務(wù)邏輯和運(yùn)行上下文。同一個(gè)看起來沒毛病的函數(shù)，放在A流程里安全，嵌進(jìn)B流程里就可能被惡意利用。而AI模型目前幾乎觸摸不到這層含義，它讀出了代碼，卻沒讀懂“為什么這么寫”以及“這么寫會(huì)怎么被用”。當(dāng)漏洞嵌在業(yè)務(wù)流程的復(fù)雜縫隙里，不帶上下文感知的自動(dòng)掃描往往會(huì)把風(fēng)險(xiǎn)判定為正常，或是報(bào)一堆無關(guān)痛癢的告警。
看清這些局限之后，事情反而變得清晰。開發(fā)者說，AI給出的報(bào)告必須和人形成一對搭檔：機(jī)器負(fù)責(zé)飛速過濾大量已知風(fēng)險(xiǎn)，人負(fù)責(zé)把代碼放回業(yè)務(wù)語境里掂量，把那些沒被訓(xùn)練過的組合和罕見邏輯漏洞一個(gè)個(gè)揪出來。安全沒有一招通吃的工具，但認(rèn)識(shí)到AI幫不了什么，知道該在哪里把接力棒穩(wěn)穩(wěn)交到人手上，才是把漏網(wǎng)之魚量壓到最小的底氣。
特別聲明：以上內(nèi)容(如有圖片或視頻亦包括在內(nèi))為自媒體平臺(tái)“網(wǎng)易號(hào)”用戶上傳并發(fā)布，本平臺(tái)僅提供信息存儲(chǔ)服務(wù)。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
