Project Glasswing plečiasi: DI saugumas tampa komandiniu darbu

DI saugumas po truputį pereina iš konferencijų skaidrių į tikrą kodo bazę. Anthropic paskelbė, kad plečia Project Glasswing iki maždaug 150 naujų organizacijų daugiau nei penkiolikoje šalių.

Čia ne tas atvejis, kur DI piešia gražų paveiksliuką ar padeda parašyti mandagesnį laišką. Čia jis eina ieškoti skylės kode.

Ir, tiesą sakant, tokios naujienos man atrodo svarbesnės už daugumą modelių lenktynių.

KAS YRA PROJECT GLASSWING

Project Glasswing – Anthropic iniciatyva, kurioje Claude modeliai naudojami programinės įrangos saugumo spragoms rasti. Įmonė nurodo, kad pirmieji partneriai jau rado daugiau kaip 10 tūkst. aukšto arba kritinio rimtumo spragų.

Skaičius didelis. Bet čia svarbiausia ne pats skaičius.

Svarbiausia, kad DI tampa papildoma pora akių ten, kur klaidos brangios. Ne pakeičia saugumo komandą, o padeda jai greičiau pamatyti tai, kas įprastai pasislepia tarp tūkstančių failų.

KODĖL TAI AKTUALU NE TIK DIDELIEMS

Mažesnės įmonės dažnai galvoja: „Pas mus nėra ką laužti.“ Na taip, kol kas nors pabando.

Klientų duomenys, mokėjimai, vidiniai dokumentai, prisijungimai prie sistemų – visa tai turi vertę. Ir jei kodas rašytas skubant, su laikinais sprendimais, kuriuos „sutvarkysime vėliau“, DI saugumo įrankiai gali tapti labai praktiška pagalba.

Žinoma, vien DI nepakanka. Jeigu nėra atsakomybės, testavimo ir proceso, įrankis taps dar vienu langeliu naršyklėje.

MOKYMOSI PAMOKA KOMANDOMS

Man Project Glasswing įdomus ir kaip mokymų tema. Nes saugumas dažnai atrodo kaip kažkas atskiro: yra programuotojai, yra saugumo žmonės, kažkur gale ateina auditas.

DI gali pakeisti ritmą. Saugumo klausimai gali atsirasti anksčiau – dar rašant kodą, dar planuojant funkciją, dar prieš paleidimą.

Komandoms reikės išmokti klausti:

• Kokius duomenis ši funkcija liečia?
• Ką vartotojas gali padaryti netyčia?
• Ką piktybinis vartotojas gali padaryti tyčia?
• Kur DI gali padėti patikrinti prielaidas?

Tai ne biurokratija. Tai įgūdis.

DI KAIP SAUGUMO TRENERIS

Geriausias scenarijus – kai DI ne tik randa klaidą, bet ir paaiškina, kodėl ji pavojinga. Tada komanda ne tik užlopo vieną vietą, bet mokosi galvoti kitaip.

Kaip treneris baseine. Jis neplaukia už tave, bet parodo, kodėl tavo ranka krenta ne ten. Po kelių kartų pradedi jausti pats.

Šaltinis: Anthropic.

DUK

Kas yra DI saugumas?

Tai DI naudojimas rizikoms, spragoms ir netinkamam sistemų elgesiui aptikti bei valdyti.

Ar DI gali pakeisti saugumo specialistus?

Ne. Jis gali pagreitinti patikras ir padėti rasti daugiau klaidų, bet atsakomybė lieka komandai.

Nuo ko pradėti?

Nuo vienos kodo bazės ar produkto srities, kur klaidos būtų brangiausios.

Jei jūsų komanda kuria su DI, mokykitės ir tikrinti su DI. Praktinius DI darbo įpročius galite susidėti per MasterSprint.