لایتول: اعتماد به کدی که هوش مصنوعی مینویسه
هوش مصنوعیخلاصهٔ کاملتر
آیبیام و ردهت اعلام کردن که Lightwell رو با یه سری محصول تجاری تازه گسترش میدن. Lightwell یه پروژهٔ متنبازه که روی امضای نرمافزار، اثبات منشأ (provenance)، راستیآزمایی آرتیفکتها و اعمال سیاستهای امنیتی کار میکنه. به گفتهٔ آیبیام، حالا که هوش مصنوعی داره حجم و سرعت تولید کد رو بالا میبره، چالش دیگه سریعتر کد زدن نیست؛ اینه که ثابت کنی نرمافزار از کجا اومده، چطور بیلد شده و بین راه دستکاری نشده.
نکتهٔ مهم اینه که Lightwell مفهوم امنیتی جدیدی اختراع نکرده. استانداردهایی مثل Sigstore برای امضا، in-toto برای اثبات مراحل بیلد، SLSA برای سطحبندی امنیت زنجیرهٔ تأمین و SBOM برای فهرست اجزای نرمافزار از قبل وجود داشتن، ولی هر کدوم جدا بودن. کاری که این پلتفرم میکنه اینه که همه رو تو یه بستهٔ یکپارچه و پشتیبانیشده جمع میکنه تا سازمانها مجبور نباشن خودشون چند پروژهٔ متنباز جدا رو به هم بچسبونن.
تو این مقاله اومده که جهتگیری کلی صنعت داره از بازبینی کد و اسکن آسیبپذیری به سمت اثبات رمزنگاریشده و راستیآزمایی مداوم میره. یعنی بهجای یه چک امنیتی آخر خط، اعتماد به یه ویژگی تبدیل میشه که از لحظهٔ توسعه تا استقرار همراه نرمافزار حرکت میکنه: اینکه تو محیط تأییدشده بیلد شده، با هویت معتبر امضا شده و از سورس راستیآزماییشده در اومده.
بخش جالب ماجرا مربوط به ایجنتهای هوش مصنوعیه. وقتی یه ایجنت میتونه کد بنویسه، زیرساخت رو تغییر بده و مستقیم تو فرآیند تحویل نرمافزار مشارکت کنه، سازمان باید بتونه بگه هر کاری رو کی یا چی انجام داده، با چه هویتی و طبق کدوم سیاست. نویسنده این رو به تلاشهای گستردهتر حول attestation رمزنگاریشده، هویت workload و policy-as-code وصل میکنه.
آیبیام و ردهت تنها بازیگر این حوزه نیستن: گیتهاب با CodeQL و artifact attestation جلو رفته، گوگل روی گسترش SLSA و Sigstore کار کرده، مایکروسافت امضا و provenance رو تو Azure DevOps و GitHub Advanced Security گنجونده و CNCF هم با Kusari همکاری کرده. نویسنده معتقده آیندهٔ امنیت نرمافزار کمتر به ابزارهای منفرد و بیشتر به معماریهای جامع اعتماد وابستهست.
نکات کلیدی:
- Lightwell از یه پروژهٔ متنباز به یه پلتفرم تجاری برای امضا، اثبات منشأ و اعمال سیاست تبدیل شده
- بهجای اختراع استاندارد تازه، Sigstore و in-toto و SLSA و SBOM رو یکپارچه میکنه
- انگیزهٔ اصلی، حجم و سرعت کدیه که با کمک هوش مصنوعی تولید میشه
- اعتماد از یه چک آخر خط به یه ویژگی همراه کل چرخهٔ عمر تبدیل میشه
- گیتهاب، گوگل، مایکروسافت و CNCF هم مسیرهای مشابهی رو دنبال میکنن
