Lanzando cohetes de innovación, pero tenga cuidado con la oscuridad que se avecina

Imagine un mundo en el que el software que impulsa sus aplicaciones favoritas, protege sus transacciones en línea y mantiene su vida digital podría ser burlado y controlado por un código inteligentemente disfrazado. Esta no es la trama del último thriller cibernético; De hecho, ha sido una realidad desde hace años. Una de las grandes incertidumbres relacionadas con este nuevo mundo feliz es cómo cambiará esto (en una dirección positiva o negativa) a medida que la inteligencia artificial (IA) asuma un papel más importante en el desarrollo de software.

En una era en la que la IA promete revolucionar la forma en que vivimos y trabajamos, no se puede dejar de lado la conversación sobre sus implicaciones para la seguridad. A medida que confiamos cada vez más en la IA para tareas que van desde las mundanas hasta las de misión crítica, la pregunta ya no es sólo: «¿Puede la IA impulsar la ciberseguridad?» (¡seguro!), pero también «¿Puede la IA ser hackeado?» (¡sí!), «¿Se puede usar IA? ¿hackear?» (¡por supuesto!) y «¿La IA producir software seguro?» (bueno…). Este artículo sobre liderazgo intelectual trata sobre este último. cydril (una empresa de formación en codificación segura) profundiza en el complejo panorama de las vulnerabilidades producidas por la IA, con especial atención en GitHub Copilot, para subrayar el imperativo de las prácticas de codificación segura para salvaguardar nuestro futuro digital.

Puedes poner a prueba tus habilidades de codificación segura con este breve autoevaluación.

La paradoja de la seguridad de la IA

El salto de la IA de la curiosidad académica a la piedra angular de la innovación moderna se produjo de forma bastante repentina. Sus aplicaciones abarcan una impresionante variedad de campos y ofrecen soluciones que alguna vez fueron materia de ciencia ficción. Sin embargo, este rápido avance y adopción ha superado el desarrollo de las medidas de seguridad correspondientes, dejando tanto a los sistemas de IA como a los sistemas creados por IA vulnerables a una variedad de ataques sofisticados. ¿Deja Vu? Lo mismo sucedió cuando el software –como tal– se estaba apoderando de muchos campos de nuestras vidas…

En el corazón de muchos sistemas de IA se encuentra el aprendizaje automático, una tecnología que se basa en amplios conjuntos de datos para «aprender» y tomar decisiones. Irónicamente, la fortaleza de la IA –su capacidad para procesar y generalizar a partir de grandes cantidades de datos– es también su talón de Aquiles. El punto de partida de “todo lo que encontremos en Internet” puede no ser los datos de entrenamiento perfectos; Desafortunadamente, la sabiduría del masas puede no ser suficiente en este caso. Además, los piratas informáticos, armados con las herramientas y el conocimiento adecuados, pueden manipular estos datos para engañar a la IA y hacer que tome decisiones erróneas o acciones maliciosas.

Copiloto en la mira

GitHub Copilotoimpulsado por OpenAI Códice, es un testimonio del potencial de la IA en la codificación. Ha sido diseñado para mejorar la productividad al sugerir fragmentos de código e incluso bloques completos de código. Sin embargo, múltiples estudios han puesto de relieve los peligros de confiar plenamente en esta tecnología. Se ha demostrado que una parte importante del código generado por Copilot puede contener fallas de seguridad, incluidas vulnerabilidades a ataques comunes como inyección SQL y desbordamientos de búfer.

El principio «Basura entra, basura sale» (GIGO) es especialmente relevante en este caso. Los modelos de IA, incluido Copilot, se entrenan con datos existentes y, al igual que cualquier otro modelo de lenguaje grande, la mayor parte de este entrenamiento no está supervisado. Si estos datos de entrenamiento son defectuosos (lo cual es muy posible dado que provienen de proyectos de código abierto o grandes sitios de preguntas y respuestas como Stack Overflow), el resultado, incluidas las sugerencias de código, puede heredar y propagar estos defectos. En los primeros días de Copilot, un estudio reveló que aproximadamente el 40% de las muestras de código producidas por Copilot cuando se les pedía que completaran código basado en muestras del CWE Top 25 eran vulnerables, lo que subraya el principio GIGO y la necesidad de una mayor concienciación sobre la seguridad. Un estudio a mayor escala en 2023 (¿Es el Copilot de GitHub tan malo como los humanos a la hora de introducir vulnerabilidades en el código?) tuvo resultados algo mejores, pero aún lejos de ser buenos: al eliminar la línea de código vulnerable de los ejemplos de vulnerabilidad del mundo real y pedirle a Copilot que la completara, recreó la vulnerabilidad aproximadamente 1/3 de las veces y solucionó la vulnerabilidad solo aproximadamente 1 /4 del tiempo. Además, tuvo un desempeño muy pobre en vulnerabilidades relacionadas con la validación de entrada faltante, generando código vulnerable cada vez. Esto pone de relieve que la IA generativa está mal equipada para hacer frente a entradas maliciosas si no se dispone de soluciones tipo «solución milagrosa» para abordar una vulnerabilidad (por ejemplo, declaraciones preparadas).

El camino hacia el desarrollo seguro de software impulsado por IA

Abordar los desafíos de seguridad que plantean la IA y herramientas como Copilot requiere un enfoque multifacético:

1. Comprender las vulnerabilidades: Es esencial reconocer que el código generado por IA puede ser susceptible a los mismos tipos de ataques que el software desarrollado «tradicionalmente».
2. Elevando las prácticas de codificación segura: Los desarrolladores deben recibir capacitación en prácticas de codificación segura, teniendo en cuenta los matices del código generado por IA. Esto implica no solo identificar vulnerabilidades potenciales, sino también comprender los mecanismos a través de los cuales la IA sugiere ciertos fragmentos de código, para anticipar y mitigar los riesgos de manera efectiva.
3. Adaptación del SDLC: No es sólo tecnología. Los procesos también deben tener en cuenta los cambios sutiles que traerá la IA. Cuando se trata de Copilot, el desarrollo del código suele ser el foco de atención. Pero los requisitos, el diseño, el mantenimiento, las pruebas y las operaciones también pueden beneficio de modelos de lenguaje grandes.
4. Vigilancia y mejora continua: Los sistemas de IA, al igual que las herramientas que impulsan, están en continua evolución. Seguir el ritmo de esta evolución significa mantenerse informado sobre las últimas investigaciones de seguridad, comprender las vulnerabilidades emergentes y actualizar las prácticas de seguridad existentes en consecuencia.

Navegar por la integración de herramientas de inteligencia artificial como GitHub Copilot en el proceso de desarrollo de software es arriesgado y requiere no solo un cambio de mentalidad sino también la adopción de estrategias sólidas y soluciones técnicas para mitigar posibles vulnerabilidades. A continuación se ofrecen algunos consejos prácticos diseñados para ayudar a los desarrolladores a garantizar que el uso de Copilot y herramientas similares basadas en IA mejoren la productividad sin comprometer la seguridad.

¡Implemente una validación de entrada estricta!

Implementación práctica: La programación defensiva siempre es el núcleo de la codificación segura. Al aceptar sugerencias de código de Copilot, especialmente para funciones que manejan entradas del usuario, implemente medidas estrictas de validación de entradas. Defina reglas para la entrada del usuario, cree una lista de caracteres y formatos de datos permitidos y asegúrese de que las entradas se validen antes de procesarlas. También puede pedirle a Copilot que haga esto por usted; a veces ¡realmente funciona bien!

¡Administre las dependencias de forma segura!

Implementación práctica: Copilot puede sugerir agregar dependencias a su proyecto, y los atacantes pueden usar esto para implementar ataques a la cadena de suministro a través de «paquete alucinaciones». Antes de incorporar cualquier biblioteca sugerida, verifique manualmente su estado de seguridad buscando vulnerabilidades conocidas en bases de datos como National Vulnerability Database (NVD) o realice un análisis de composición de software (SCA) con herramientas como OWASP Dependency-Check o npm audit para proyectos Node.js. . Estas herramientas pueden rastrear y administrar automáticamente la seguridad de las dependencias.

¡Realice evaluaciones de seguridad periódicas!

Implementación práctica: Independientemente de la fuente del código, ya sea generado por IA o hecho a mano, realice revisiones y pruebas periódicas del código centrándose en la seguridad. Combinar enfoques. Pruebe estáticamente (SAST) y dinámicamente (DAST), realice Análisis de composición de software (SCA). Realice pruebas manuales y complételas con automatización. Pero recuerde anteponer a las personas a las herramientas: ninguna herramienta o inteligencia artificial puede reemplazar la inteligencia natural (humana).

¡Sea gradual!

Implementación práctica: Primero, deje que Copilot escriba sus comentarios o registros de depuración; ya es bastante bueno en esto. Cualquier error en estos no afectará la seguridad de su código de todos modos. Luego, una vez que esté familiarizado con su funcionamiento, puede dejar que genere gradualmente más y más fragmentos de código para la funcionalidad real.

¡Revise siempre lo que ofrece Copilot!

Implementación práctica: Nunca aceptes ciegamente lo que sugiere Copilot. Recuerde, usted es el piloto, es «sólo» el Copiloto! Usted y Copilot pueden formar un equipo muy eficaz juntos, pero sigue siendo usted quien está a cargo, por lo que debe saber cuál es el código esperado y cómo debería verse el resultado.

¡Experimento!

Implementación práctica: Pruebe diferentes cosas e indicaciones (en modo chat). Intente pedirle a Copilot que refine el código si no está satisfecho con lo que obtuvo. Trate de comprender cómo «piensa» Copilot en determinadas situaciones y comprenda sus fortalezas y debilidades. Además, Copilot mejora con el tiempo, ¡así que experimente continuamente!

¡Manténgase informado y educado!

Implementación práctica: Infórmese continuamente a usted y a su equipo sobre las últimas amenazas de seguridad y las mejores prácticas. Siga blogs de seguridad, asista a seminarios web y talleres, y participe en foros dedicados a la codificación segura. El conocimiento es una herramienta poderosa para identificar y mitigar posibles vulnerabilidades en el código, generadas por IA o no.

Conclusión

La importancia de las prácticas de codificación seguras nunca ha sido más importante a medida que navegamos por las aguas inexploradas del código generado por IA. Herramientas como GitHub Copilot presentan importantes oportunidades de crecimiento y mejora, pero también desafíos particulares en lo que respecta a la seguridad de su código. Sólo comprendiendo estos riesgos se podrá conciliar con éxito la eficacia con la seguridad y mantener nuestra infraestructura y nuestros datos protegidos. En este viaje, Cydrill sigue comprometido a brindar a los desarrolladores el conocimiento y las herramientas necesarios para construir un futuro digital más seguro.

El viaje de aprendizaje combinado de Cydrill Proporciona formación en codificación segura proactiva y eficaz para desarrolladores de empresas Fortune 500 de todo el mundo. Combinando formación dirigida por un instructor, aprendizaje electrónico, laboratorios prácticos y gamificación, Cydrill proporciona un enfoque novedoso y eficaz para aprender a codificar de forma segura.

Verificar Cursos de codificación segura de Cydrill.