GitHub: Yapay zeka, geliştiricilerin daha güvenli kod yazmasına yardımcı oluyor ancak temel bilgileri doğru bir şekilde almanız gerekiyor

Sağlam temeller atıncaya kadar yapay zeka destekli geliştirmeyle uğraşmayın.

Güvenlik açıklarının tespit edilmesine yardımcı olacak gelişmiş siber güvenlik araçlarına sahip olmak güzel olabilir, ancak kod güvenliğinin yine de geliştiricilerin temel bilgileri doğru bir şekilde almasıyla başlaması gerekiyor.

GitHub'un güvenlik şefi (CSO) ve mühendislikten sorumlu kıdemli başkan yardımcısı Mike Hanley, temellere bu şekilde odaklanmanın, iki faktörlü kimlik doğrulamayı (2FA) açmak ve endüstri standartlarını ve en iyi uygulamaları benimsemek gibi temel ilkelere bağlı kalmak anlamına geldiğini söyledi.

Microsoft'un sahip olduğu yazılım geliştirme platformunun 100 milyondan fazla kullanıcısı var ve hedefli siber saldırılardan payına düşeni alıyor. Ancak son on yılda bu saldırıların biçiminde önemli bir değişiklik olmadı. Bu girişimlerin çoğunluğu, yazılım bakımcılarının kimlik bilgilerini ve hesaplarını ele geçirmeyi amaçlayan kimlik avı ve sosyal mühendislik saldırılarının yanı sıra web uygulamalarındaki güvenlik açıklarından yararlanmayı da içeriyor.

Siber suçluların büyük oranda aynı taktikleri uyguladığı göz önüne alındığında, güvenliğin geliştiriciyle başlaması kritik önem taşıyor. Hanley, ZDNET ile yaptığı röportajda, "Güvenlik açıklarını önlemek ve tespit etmek için araçlar satın alabilirsiniz, ancak yapmanız gereken ilk şey geliştiricilerin güvenli uygulamalar geliştirdiklerinden emin olmalarına yardımcı olmaktır" dedi.

Video konferans çağrılarına ve otonom arabalara güç sağlayanlar da dahil olmak üzere büyük yazılım araçları oluşturuldukça ve kitaplıkları GitHub'da kullanıma sunuldukça, bu uygulamaları kullanan kişilerin hesapları uygun şekilde güvence altına alınmazsa, kötü niyetli bilgisayar korsanları bu hesapları ele geçirebilir ve kütüphane.

Hasarın geniş kapsamlı olabileceğini ve SolarWinds ve Log4j gibi başka bir üçüncü taraf ihlaline yol açabileceğini belirtti. Hanley, 2021'de GitHub'a katıldı ve devasa SolarWinds saldırısının yayıldığı haberi üzerine yeni oluşturulan CSO rolünü üstlendi.

"İnsanlara hâlâ 2FA'yı açmalarını söylüyoruz... temel bilgileri edinmek bir önceliktir" dedi.

GitHub'ın, son bir buçuk yıldır üzerinde çalışılan ve bu yılın başlarında tamamlanacak bir süreç olan 2FA kullanımını tüm kullanıcılar için zorunlu kılma çabalarına dikkat çekti.

Güvenlik pazarı artık "gösterişli" tekliflerle dolup taşarken, profesyonellerin kapıya basit bir sürgü ihtiyacını gözden kaçırması kolay olabilir.

Temel kontrollerin, endüstri standartlarının ve en iyi uygulamaların benimsenmesinin yanı sıra bir kuruluşun ortamını güvence altına almada daha etkili olacağını söyledi. Bu uygulamalar arasında Cloud Security Alliance'ın yayınlanmış karşılaştırmaları ve "sağduyulu" temel güvenlik uygulamalarına ve en önemli bileşenlere odaklanmaya yardımcı olmak için hem özel hem de kamu kuruluşlarından gelen girdilere dayanan Singapur Güvenli Uygulama Standardı yer almaktadır.

Yapay zeka ile sola kaydırma geliştirmeyi yeniden tanımlama

Hanley'e göre, üretken yapay zeka da dahil olmak üzere yapay zeka (AI), özellikle kodlarını yazarken potansiyel güvenlik açıklarını tespit etme konusunda yazılım geliştiriciler için önemli bir yardımcı olarak ortaya çıkıyor.

Yapay zekanın sola kaydırma modelini yeniden tanımladığını ve geliştiricilerin en başından itibaren kodlarına güvenlik açıkları yazmalarını engellemeye yardımcı olduğunu söyledi.

Sola kaydırma yaklaşımı, yazılımın geliştirme yaşam döngüsünün başlarında test edilmesini içerir, böylece kalitesi geliştirme aşaması boyunca değerlendirilebilir ve iyileştirilebilir.

Yazılımdaki güvenlik açıkları genellikle kodlar kamuya açıklandıktan sonra keşfedilir ve Log4j örneğinde olduğu gibi bazen bunların açığa çıkması yıllar alır; yapay zekanın yazılımdan önce olası güvenlik açıklarını belirleme ve kapatmaya yönelik öneriler sunma yeteneği Hanley, yayınlanmasının geliştiriciler için oyunun kurallarını değiştireceğini söyledi.

GitClear'ın 2020'den 2023'e kadar yazılan 153 milyon değiştirilmiş kod satırını inceleyen araştırmasına göre, yazıldıktan iki haftadan kısa bir süre sonra geri alınan veya güncellenen kodların oranının bu yıl 2021'e kıyasla iki katına çıkması bekleniyor.

GitHub'un yapay zeka destekli yazılım geliştirme aracı Copilot'a işaret eden Hanley, teknolojinin yalnızca geliştiricilerin kod yazmasına yardımcı olmayı değil, aynı zamanda onu gözden geçirip düzeltmesine de yardımcı olmayı amaçladığını söyledi.

GitHub Copilot'un, bir projenin bağlamı ve stil kurallarına uygun kod önerileri sunarak geliştiricilere neyi kabul edeceklerine, reddedeceklerine veya düzenleyeceklerine karar verme yeteneği sunduğu öne sürülüyor. Araç, Visual Studio ve Neovim gibi diğer düzenleyicilerle entegre edilebilir ve Python, JavaScript, Ruby ve C# dahil çeşitli dillerde söz dizimi ve kod önerebilir.

GitHub CEO'su Thomas Dohmke yakın tarihli bir LinkedIn gönderisinde, ilk olarak Ekim 2021'de tanıtılan GitHub Copilot'un şu anda 1,3 milyondan fazla ücretli abone ve 50.000 kuruluş tarafından kullanıldığını söyledi. Yapay zeka destekli araç, üç milyardan fazla kabul edilen kod satırı üretti.

Dohmke, Haziran 2023'teki bir gönderisinde, 934.533 GitHub Copilot kullanıcısının örnek analizine atıfta bulunarak, kullanıcılarının ortalama olarak kod önerilerinin neredeyse %30'unu kabul ettiğini ve geliştiricilerin araca aşinalık kazandıkça bu rakamın arttığını söyledi.

Yüzde 30 üretkenlik oranına ve 2030'da 45 milyon geliştiriciye ulaşacağı tahminine dayanarak, üretken yapay zeka geliştirici araçlarının 2030 yılına kadar küresel kapasiteye potansiyel olarak 15 milyon "etkili geliştirici" ekleyebileceğini ve GSYH'yi 1,5 trilyon dolardan fazla artırabileceğini söyledi.

GitHub Copilot kullanıcılarının araçla %55 daha hızlı kodlama yaptığını bildiren yetkili, etkinleştirildiği dosyalarda kodların %46'sının AI destekli teknoloji tarafından tamamlandığını da sözlerine ekledi.

Hanley, sürücüsüz arabalar gibi yapay zeka destekli geliştirme araçlarının da insan geliştiricilerin ve kod inceleme süreçlerinin yerini alamayacağını söyledi. Bunlar yardımcı araçlardır ve adından da anlaşılacağı gibi yazılım geliştiricilerin yardımcı pilotları, insan meslektaşlarıyla birlikte çalıştıklarında daha etkili olurlar.