Veracode發(fā)布了年度軟件安全狀況報告，基于其云平臺上160萬個應(yīng)用程序的測試數(shù)據(jù)，發(fā)現(xiàn)新創(chuàng)建的漏洞比修復(fù)的漏洞更多，而使用生成式AI的高速開發(fā)正在使全面的安全保障變得無法實現(xiàn)。

該公司將安全債務(wù)定義為"超過一年未解決的已知漏洞"，認為這一問題現(xiàn)在影響了82%的公司，比一年前的74%有所上升。高風(fēng)險漏洞（指既嚴重又可能被利用的缺陷）從8.3%上升到11.3%。這些數(shù)據(jù)來自靜態(tài)分析（代碼分析）、動態(tài)分析（測試運行時行為）、軟件成分分析（檢查軟件組件如庫依賴項）和手動滲透測試的綜合結(jié)果。

不過也有一些好消息。具有開源漏洞的應(yīng)用程序數(shù)量從70%減少到62%，整體"缺陷普遍率"從80%下降到78%。

研究人員指出，測試工具使用的增加是導(dǎo)致數(shù)字上升的因素之一，這表明數(shù)字惡化的一個原因是發(fā)現(xiàn)了更多以前可能被遺漏的問題。由于誤報數(shù)量未知，實際情況可能沒有數(shù)字顯示的那么糟糕。

然而，根據(jù)Veracode的說法，軟件發(fā)布節(jié)奏的加快也導(dǎo)致新代碼的添加速度超過了現(xiàn)有漏洞的解決速度。研究人員還看到技術(shù)復(fù)雜性不斷增長，這歸因于更多AI生成的代碼，使得修復(fù)變得更加困難。

確定生成式AI的影響很困難，因為這家軟件安全公司也表示，AI工具可以幫助識別漏洞并自動化修復(fù)。研究人員指出，惡意行為者可能通過AI滲透工具獲得成功，或通過提示注入等技術(shù)操控模型。

Veracode對AI工具的人工監(jiān)督重要性做出了常規(guī)表態(tài)，盡管這具體意味著什么還不確定。例如在Cloudflare最新的AI編程項目中，一個重要的應(yīng)用程序在一周內(nèi)構(gòu)建完成，大部分代碼沒有經(jīng)過人工審查，這似乎不可避免地會導(dǎo)致安全被忽視，或者在明知存在缺陷的情況下主要委托給生成式AI。AI工具也擅長產(chǎn)生誤報，為人工代碼審查員創(chuàng)造了可能難以管理的負擔(dān)。

"AI時代的開發(fā)速度使得全面的安全保障無法實現(xiàn)，"報告指出，這是一個令人沮喪的結(jié)論。此外，"修復(fù)差距已達到危機程度；漸進式改進不足夠；需要變革性變化。"

確定應(yīng)該進行什么樣的變革是困難的；有人懷疑行業(yè)會推廣更多的AI工具作為解決方案，盡管像這份報告這樣的證據(jù)表明，目前AI并未能改善情況。

Q&A

Q1：什么是安全債務(wù)？目前有多少公司受到影響？

A：安全債務(wù)是指超過一年未解決的已知漏洞。根據(jù)Veracode的報告，這一問題現(xiàn)在影響了82%的公司，比一年前的74%有所上升。

Q2：為什么AI驅(qū)動的開發(fā)會增加安全風(fēng)險？

A：AI驅(qū)動的開發(fā)加快了軟件發(fā)布節(jié)奏，導(dǎo)致新代碼添加速度超過現(xiàn)有漏洞的解決速度。同時，更多AI生成的代碼增加了技術(shù)復(fù)雜性，使得漏洞修復(fù)變得更加困難。

Q3：軟件安全狀況報告顯示了哪些積極變化？

A：報告顯示具有開源漏洞的應(yīng)用程序數(shù)量從70%減少到62%，整體缺陷普遍率從80%下降到78%，這些都是積極的變化。