Kun tekoäly kirjoittaa koodia, turvallisuus on ajateltava uudelleen

Tekoälyn luoma koodi muuttaa nopeasti ohjelmistokehityksen tapaa. Vielä jokin aika sitten ohjelmistokehitys vaati syvällistä teknistä asiantuntemusta, useita työtunteja ja rivejä manuaalisesti kirjoitettua koodia. Nykyään yksinkertainen kehote voi tehdä suuren osan samasta työstä sekunneissa.

Se, mitä joskus kutsutaan vibe-koodaukseksi, jossa kehittäjät käskevät tekoälymalleja luomaan koodia sen sijaan, että he kirjoittaisivat sen itse, muuttaa nopeasti ohjelmistojen rakentamistapaa. Se tekee kehityksestä nopeampaa, helpommin saavutettavaa ja tehokkaampaa. Monille organisaatioille se on itsestäänselvyys: nopeammat julkaisut, korkeampi tuottavuus ja innovaatiovauhti, jota oli aiemmin vaikea saavuttaa.

Mutta kun koodin luominen siirtyy yhä enemmän koneille, herää myös ratkaiseva kysymys: jos emme enää kirjoita koodia itse, mistä tiedämme sen olevan turvallista?

Koodi ei ole koskaan vain toiminnallisuutta. Se on myös mahdollinen haavoittuvuus.

Tekoälyn luoman koodin yleistyessä myös organisaatioiden ympäristöihin joutuvien haavoittuvuuksien riski kasvaa. Se, mikä aiemmin johtui usein inhimillisestä virheestä, voidaan nyt luoda systemaattisesti ja skaalautuvasti.

Tutkimus Armis Labs osoittaa, kuinka vakava ongelma todella on. Useissa kriittisissä kehitysskenaarioissa kaikki johtavat generatiivisen tekoälyn mallit epäonnistuivat turvallisen koodin tuottamisessa. Jopa uudemmat ja kehittyneemmät mallit, kuten Gemini ja Claude, tuotti haavoittuvaa koodia yli 30 prosentissa tapauksista. Heikkoudet ilmenivät esimerkiksi todennuksessa, tiedostojen käsittelyssä ja muistinhallinnassa. Ongelma ei kuitenkaan ole pelkästään itse koodissa, vaan myös siinä, kuinka nopeasti alamme luottaa siihen.

Tekoälyn luoman koodin, kolmansien osapuolten komponenttien ja avointen kirjastojen tullessa yhä tärkeämmäksi osaksi kehitystyönkulkua, monet organisaatiot luottavat koodiin, jota he eivät ole itse kirjoittaneet eivätkä usein pysty tarkistamaan sitä täysin. Tämä luo kasvavan kuilun havaitun ja todellisen turvallisuuden välille.

Teettämämme tutkimus osoittaa, että 77 prosenttia organisaatioista luottaa kriittisimmissä sovelluksissaan käytetyn kolmannen osapuolen koodin eheyteen. Yhtä moni uskoo, että tekoälyavusteinen koodi tarkastetaan asianmukaisesti vakavien haavoittuvuuksien varalta. Samaan aikaan monilla organisaatioilla ei ole täyttä näkymää siihen, miten koodi on luotu, mille komponenteille se perustuu ja miten sitä on todellisuudessa tarkistettu.

Se on vaarallinen yhdistelmä. Koodi generoidaan nopeammin kuin sitä voidaan suojata ja luottaa nopeammin kuin sitä voidaan todentaa.

Tämä muuttaa myös uhkakuvaa. Jokainen uusi ominaisuus, integraatio tai riippuvuus voi luoda uuden reitin hyökkääjille. Haavoittuvuudet esiintyvät harvoin erillään. Ne yhdistävät sovelluksia, ympäristöjä, toimittajia ja järjestelmiä tavoilla, joita on vaikea havaita ja joissa perinteinen sovellusten tietoturva ei riitä. Monet vanhemmat työskentelytavat perustuvat kehitysmalliin, jossa koodi kirjoitetaan, tarkistetaan ja otetaan käyttöön selkeissä vaiheissa. Tekoälyyn perustuva kehitys toimii eri tavalla – se perustuu jatkuvaan generointiin, nopeaan iterointiin ja nopeasti kasvavaan koodimäärään.

Tuloksena ei ole vain enemmän haavoittuvuuksia, vaan myös vähemmän selkeyttä. Tietoturvatiimeille esitetään enemmän löydöksiä käsiteltäväksi, mutta usein liian vähän kontekstia ymmärtääkseen, mitkä heikkoudet todella merkitsevät eniten.

Tämä tarkoittaa, että organisaatioiden on siirryttävä pelkästä virheiden etsimisestä todellisen altistumisen ymmärtämiseen. Ei riitä, että tiedät haavoittuvuuden olemassaolosta, vaan on ymmärrettävä, mihin järjestelmiin se vaikuttaa, miten se liittyy muihin heikkouksiin ja minkä todellisen liiketoimintariskin se luo. Tämä edellyttää parempaa näkyvyyttä koko ohjelmistoketjuun. Organisaatioiden on tiedettävä, miten sovellukset rakennetaan, mitä ulkoisia komponentteja ne käyttävät ja miten nämä liittyvät muihin ympäristöihin. Tämä koskee tekoälyn luomaa koodia, avoimen lähdekoodin koodia, kolmansien osapuolten integraatioita ja infrastruktuuria, johon kaikki tämä perustuu.

Joten todellinen haaste ei ole vain haavoittuvuuksien määrä, vaan se, miten ne ovat yhteydessä toisiinsa.

Tekoälyn muuttaessa ohjelmistojen rakentamistapaa, myös tietoturvan on muututtava. Tekoälypohjaisessa kehitysympäristössä riskiä ei enää luoda rivi riviltä, vaan järjestelmien, komponenttien ja yhteyksien kautta, jotka ovat usein näkymättömiä, kunnes jokin menee pieleen.

Kysymys ei siis ole siitä, voimmeko luottaa koodia kirjoittaviin koneisiin, vaan siitä, miten hallitsemme luottamukseen liittyvän riskin. Turvallisuus ei voi enää perustua oletukseen, että koodi on turvallinen. Sen on perustuttava ymmärrykseen siitä, missä riski on, miten se on yhteydessä toisiinsa ja mihin se voi todellisuudessa vaikuttaa.

Nadir Israel, konsernin varatoimitusjohtaja Armis alkaen ServiceNow