AI-kori kódbiztonság és supply chain

Mit építünk be a fejlesztési láncba

A pull requesteknél statikus (SAST) elemzés fut, amely a kódmintázatokban keres sebezhetőséget, kiegészítve gépi triázzsal, hogy a fejlesztő csak a valódi találatot lássa, ne az elméleti zajt. Élesítés előtt dinamikus (DAST) teszt fut a futó alkalmazáson. Minden commit előtt titokszkennelést (gitleaks) futtatunk, hogy API-kulcs vagy jelszó véletlenül se kerüljön a repóba, és minden kiadáshoz SBOM-ot generálunk, ami pontosan listázza, milyen függőségek épültek be.

• SAST/DAST a CI/CD pipeline-ba építve, gépi triázzsal a fejlesztőnek
• Titokszkennelés (gitleaks) minden commit előtt
• SBOM minden kiadáshoz, függőségszkenneléssel (Syft, Grype)
• Konténer image-ek aláírása (cosign), ellenőrzött származással

Az AI-kor: az AI-generált kód is sebezhető lehet

A Copilot-szerű eszközök gyorsítják a fejlesztést, de a generált kód gyakran ismétel elavult vagy sebezhető mintákat, mert azokból tanult, és nem ismeri a projekt konkrét biztonsági kontextusát. Ezért a pre-commit és CI-kapukat úgy állítjuk be, hogy az AI-asszisztenssel írt kódra ugyanaz a SAST/DAST-ellenőrzés vonatkozzon, mint a kézzel írtra, plusz explicit szabályt teszünk a gyakori AI-generált hibamintákra, mint a hardcodolt titkok vagy a hiányzó bemenet-validáció.

IaC-szkennelés és guardrail-ek

A Terraform és Kubernetes-manifestek is átmennek egy checkov-alapú vizsgálaton, mielőtt alkalmazódnának, hogy egy hibásan nyitott port vagy túl tág jogosultság ne jusson el a termelésig. A pre-commit és CI-kapuk blokkolják a kiadást, amíg a kritikus találatok nyitva vannak, így a biztonsági ellenőrzés nem egy utólagos lépés, hanem a fejlesztési folyamat része. Ugyanez a logika vonatkozik az AI-asszisztenssel generált infrastruktúra-kódra is: a checkov-szabályok nem tesznek különbséget aszerint, hogy egy mérnök vagy egy asszisztens írta a manifestet, minden ugyanazon a kapun megy át.

Hogyan dolgozunk

1. Pipeline felmérés

   Megnézzük a meglévő CI/CD folyamatot, és meghatározzuk, hol illesztjük be a SAST/DAST, titokszkennelés és SBOM lépéseket.

2. Kapuk beépítése

   Beállítjuk a pre-commit és CI-kapukat, amelyek blokkolják a kiadást kritikus találat vagy titokszivárgás esetén, emberi és AI-generált kódra egyaránt.

3. SBOM és aláírás

   Minden kiadáshoz SBOM-ot generálunk, és aláírjuk a konténer image-eket, hogy a származás ellenőrizhető legyen a teljes ellátási láncban.

4. Folyamatos finomhangolás

   A havi órák terhére frissítjük a szabálykészletet és csökkentjük a hamis pozitívokat, ahogy a projekt növekszik.

Felhasználási esetek

Technológiák

• Semgrep
• gitleaks
• Syft
• Grype
• cosign
• SLSA
• checkov
• SBOM

Gyakori kérdések

• Miben más az AI-kori kódbiztonság a hagyományos kódellenőrzéstől?

  A módszertan hasonló, de a hangsúly eltolódik: az AI-asszisztensek gyorsabban termelnek kódot, ezért a SAST/DAST-ellenőrzést és a titokszkennelést minden commitra futtatjuk, nem csak időszakosan, és külön szabályt teszünk a gyakori AI-generált hibamintákra.

• Mi az a SBOM, és miért kell?

  Az SBOM (szoftver-összetevő lista) pontosan felsorolja, milyen könyvtárak és verziók épültek be egy kiadásba. Ha egy komponensről később sebezhetőség derül ki, az SBOM alapján percek alatt megállapítható, mely rendszereidet érinti, ahelyett hogy manuálisan kellene átnézni a függőségeket.

• Mit jelent az aláírt konténer image?

  Az image aláírása (cosign) igazolja, hogy pontosan az a build fut termelésben, amit a CI/CD folyamat készített, és senki nem cserélte le útközben. Ez megakadályozza, hogy egy kompromittált registry vagy köztes lépés módosított image-et juttasson termelésbe.

• Blokkolja-e ez a fejlesztési sebességet?

  A kapuk a pipeline-ba épülnek, párhuzamosan futnak a tesztekkel, és csak kritikus találatnál blokkolják a kiadást. A cél a gyors visszajelzés a fejlesztőnek, nem egy külön, lassú biztonsági ellenőrzési kör beiktatása a folyamat végén.

• Mi történik, ha egy titok mégis bekerül a repóba?

  A titokszkennelés minden commit előtt fut, így jellemzően azelőtt megáll, hogy a titok elérné a megosztott repót. Ha mégis megtörténik, a talált kulcsot vagy jelszót azonnal érvényteleníteni kell, ezt a folyamatot is dokumentáljuk a bevezetéskor.