Fejlesztőcsapat, amely AI-asszisztenst használ
Egy budapesti szoftvercég csapata Copilot-szerű eszközzel dolgozik, és a pre-commit kapu megállítja a generált kódban hardcodolt API-kulcsokat, mielőtt a repóba kerülnének.
AI-kori kódbiztonság és supply chain
Kiberbiztonsági szolgáltatás · Magyarország
A kódbiztonság ma nem csak a kézzel írt kódról szól: az AI-asszisztensek gyorsan generálnak működő, de néha sebezhető mintákat, a függőségi láncban pedig egyetlen kompromittált csomag is elég a bejutáshoz. SAST/DAST-vizsgálatot, titokszkennelést, SBOM-ot és aláírt image-eket építünk be a CI/CD folyamatodba, hogy ez a láncolat ne maradjon ellenőrizetlen.
- SAST/DAST a CI/CD pipeline-ba építve
- SBOM és függőségszkennelés minden kiadáshoz
- Aláírt konténer image-ek, ellenőrzött származás
- SAST/DAST minden pull requestenVizsgálat
- SBOM és aláírt image minden kiadásonEllátási lánc
- VPS 1-8 óra/hó, dedikált csomagtól függően 5–10 óra/hó, GPU 10 óra/hóOre incluse
- EUR-ban, ÁFA-val a számlánSzámlázás
Mit építünk be a fejlesztési láncba
A pull requesteknél statikus (SAST) elemzés fut, amely a kódmintázatokban keres sebezhetőséget, kiegészítve gépi triázzsal, hogy a fejlesztő csak a valódi találatot lássa, ne az elméleti zajt. Élesítés előtt dinamikus (DAST) teszt fut a futó alkalmazáson. Minden commit előtt titokszkennelést (gitleaks) futtatunk, hogy API-kulcs vagy jelszó véletlenül se kerüljön a repóba, és minden kiadáshoz SBOM-ot generálunk, ami pontosan listázza, milyen függőségek épültek be.
- SAST/DAST a CI/CD pipeline-ba építve, gépi triázzsal a fejlesztőnek
- Titokszkennelés (gitleaks) minden commit előtt
- SBOM minden kiadáshoz, függőségszkenneléssel (Syft, Grype)
- Konténer image-ek aláírása (cosign), ellenőrzött származással
Az AI-kor: az AI-generált kód is sebezhető lehet
A Copilot-szerű eszközök gyorsítják a fejlesztést, de a generált kód gyakran ismétel elavult vagy sebezhető mintákat, mert azokból tanult, és nem ismeri a projekt konkrét biztonsági kontextusát. Ezért a pre-commit és CI-kapukat úgy állítjuk be, hogy az AI-asszisztenssel írt kódra ugyanaz a SAST/DAST-ellenőrzés vonatkozzon, mint a kézzel írtra, plusz explicit szabályt teszünk a gyakori AI-generált hibamintákra, mint a hardcodolt titkok vagy a hiányzó bemenet-validáció.
IaC-szkennelés és guardrail-ek
A Terraform és Kubernetes-manifestek is átmennek egy checkov-alapú vizsgálaton, mielőtt alkalmazódnának, hogy egy hibásan nyitott port vagy túl tág jogosultság ne jusson el a termelésig. A pre-commit és CI-kapuk blokkolják a kiadást, amíg a kritikus találatok nyitva vannak, így a biztonsági ellenőrzés nem egy utólagos lépés, hanem a fejlesztési folyamat része. Ugyanez a logika vonatkozik az AI-asszisztenssel generált infrastruktúra-kódra is: a checkov-szabályok nem tesznek különbséget aszerint, hogy egy mérnök vagy egy asszisztens írta a manifestet, minden ugyanazon a kapun megy át.
Minden előfizetés havi DevOps, Kiberbiztonsági és Programozási órákat tartalmaz: 1 óra a cPanel Advanced csomagtól felfelé, 1–8 óra VPS esetén, dedikált szervereken csomagtól függően 5–10 óra, GPU szervereken pedig 10 óra. Az órákat az ügyfélpanelből lehet kérni, nem vihetők át a következő hónapra, és ami a keretet meghaladja, azt elfogadjuk és külön számlázzuk.
Hogyan dolgozunk
Pipeline felmérés
Megnézzük a meglévő CI/CD folyamatot, és meghatározzuk, hol illesztjük be a SAST/DAST, titokszkennelés és SBOM lépéseket.
Kapuk beépítése
Beállítjuk a pre-commit és CI-kapukat, amelyek blokkolják a kiadást kritikus találat vagy titokszivárgás esetén, emberi és AI-generált kódra egyaránt.
SBOM és aláírás
Minden kiadáshoz SBOM-ot generálunk, és aláírjuk a konténer image-eket, hogy a származás ellenőrizhető legyen a teljes ellátási láncban.
Folyamatos finomhangolás
A havi órák terhére frissítjük a szabálykészletet és csökkentjük a hamis pozitívokat, ahogy a projekt növekszik.
Felhasználási esetek
Nyílt forráskódú komponensekre épülő szolgáltatás
Egy sok külső csomagra támaszkodó backend SBOM-ot és rendszeres függőségszkennelést kap, hogy egy kompromittált csomagfrissítés ne jusson el a termelésig.
Szabályozott iparági szoftverfejlesztő
Egy pénzügyi szolgáltatásokat kiszolgáló fejlesztőcsapat aláírt image-eket és checkov-alapú IaC-ellenőrzést vezet be, hogy a partnerek felé igazolható legyen az ellátási lánc integritása.
Technológiák
- Semgrep
- gitleaks
- Syft
- Grype
- cosign
- SLSA
- checkov
- SBOM
Gyakori kérdések
Miben más az AI-kori kódbiztonság a hagyományos kódellenőrzéstől?
A módszertan hasonló, de a hangsúly eltolódik: az AI-asszisztensek gyorsabban termelnek kódot, ezért a SAST/DAST-ellenőrzést és a titokszkennelést minden commitra futtatjuk, nem csak időszakosan, és külön szabályt teszünk a gyakori AI-generált hibamintákra.
Mi az a SBOM, és miért kell?
Az SBOM (szoftver-összetevő lista) pontosan felsorolja, milyen könyvtárak és verziók épültek be egy kiadásba. Ha egy komponensről később sebezhetőség derül ki, az SBOM alapján percek alatt megállapítható, mely rendszereidet érinti, ahelyett hogy manuálisan kellene átnézni a függőségeket.
Mit jelent az aláírt konténer image?
Az image aláírása (cosign) igazolja, hogy pontosan az a build fut termelésben, amit a CI/CD folyamat készített, és senki nem cserélte le útközben. Ez megakadályozza, hogy egy kompromittált registry vagy köztes lépés módosított image-et juttasson termelésbe.
Blokkolja-e ez a fejlesztési sebességet?
A kapuk a pipeline-ba épülnek, párhuzamosan futnak a tesztekkel, és csak kritikus találatnál blokkolják a kiadást. A cél a gyors visszajelzés a fejlesztőnek, nem egy külön, lassú biztonsági ellenőrzési kör beiktatása a folyamat végén.
Mi történik, ha egy titok mégis bekerül a repóba?
A titokszkennelés minden commit előtt fut, így jellemzően azelőtt megáll, hogy a titok elérné a megosztott repót. Ha mégis megtörténik, a talált kulcsot vagy jelszót azonnal érvényteleníteni kell, ezt a folyamatot is dokumentáljuk a bevezetéskor.
Szeretnéd, hogy a fejlesztési láncod ellenőrzött legyen?
Mondd el, milyen CI/CD folyamatot használsz, és megmutatjuk, hova illesztjük be a SAST/DAST és SBOM lépéseket.