Kod generowany przez AI: nowe ryzyko bezpieczeństwa oprogramowania
Wprowadzenie
Narzędzia do generowania kodu z użyciem sztucznej inteligencji, takie jak GitHub Copilot czy ChatGPT, stały się codziennym narzędziem pracy programistów. Przyspieszają tworzenie oprogramowania, ale równocześnie wprowadzają nowe kategorie ryzyka bezpieczeństwa, które zespoły IT muszą uwzględniać w procesach testowania i przeglądu kodu.
Nowe klasy podatności
Według raportu Cloud Security Alliance, w teście Veracode z 2025 roku 45% próbek kodu wygenerowanego przez AI nie przeszło testów bezpieczeństwa wobec OWASP Top 10. Badacze z Georgia Tech śledzili 74 podatności CVE przypisane do kodu generowanego przez AI od maja 2025 roku, szacując, że rzeczywista liczba jest 5–10 razy wyższa. Problem polega na tym, że sugestie AI wyglądają profesjonalnie i są akceptowane bez dokładnego przeglądu, co prowadzi do wdrożenia podatnego kodu do systemów produkcyjnych.
Problem „halucynacji” w kodzie
Modele językowe mogą generować wywołania nieistniejących bibliotek lub funkcji, sugerować niebezpieczne wzorce lub pomijać obsługę błędów. Takie błędy bywają subtelne i trudne do wykrycia w standardowym przeglądzie kodu, zwłaszcza gdy recenzent ufa narzędziu AI.
Ryzyko łańcucha dostaw
Kod generowany przez AI często bazuje na wzorcach z danych treningowych, które mogą zawierać podatne lub przestarzałe fragmenty. Włączenie takiego kodu do projektu zwiększa ryzyko w łańcuchu dostaw oprogramowania, ponieważ błędy propagują się do kolejnych wersji i systemów zależnych.
Zalecenia dla zespołów
Organizacje powinny traktować kod wygenerowany przez AI jak kod napisany przez zewnętrznego dostawcę: obowiązkowy przegląd przez doświadczonych programistów, automatyczne skanowanie bezpieczeństwa (SAST/DAST), testy jednostkowe i integracyjne oraz ograniczenie uprawnień generowanych komponentów. Kluczowe jest też szkolenie zespołu w zakresie krytycznej oceny sugestii AI.
Podsumowanie
Generatywna AI w programowaniu to narzędzie o ogromnym potencjale, ale jego użycie bez odpowiednich zabezpieczeń tworzy nowe wektory ataku. Bezpieczeństwo oprogramowania musi nadążać za szybkością, jaką daje automatyzacja pisania kodu.
Oznaczenie treści AI
Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
