2023_Snyk_AI生成代码安全性报告-英-11页_6mb

AI Code, Security, and Trust: Summary

核心内容

AI代码生成工具在软件开发中被广泛采用，但其安全性问题日益凸显。尽管开发者普遍信任AI生成的代码，但研究表明，这些工具经常生成不安全的代码建议。文档强调，技术组织需要改变其方法，通过自动化安全流程和设置合适的防护措施，以确保代码安全，同时防止对AI代码的过度依赖。

主要观点

• AI代码工具普及度高：96%的软件工程和安全团队使用AI代码工具，超过一半的团队使用这些工具进行大部分或全部开发工作。
• AI代码安全性不足：56.4%的受访者承认AI代码建议中存在安全问题，但75.4%的人仍然认为AI代码修复建议的安全性良好，反映出认知偏差。
• 开发者忽视安全政策：80%的受访者表示，其组织中的开发者会绕过AI安全政策。这表明组织在执行层面存在严重漏洞。
• 缺乏自动化安全扫描：仅9.7%的受访者表示其团队自动化了75%或更多的安全扫描，说明自动化安全措施尚未广泛实施。
• 开源代码安全风险增加：AI工具推荐的开源组件可能存在安全隐患，而只有24.8%的受访者使用软件组成分析（SCA）来验证这些组件的安全性。
• 组织对AI安全重视不足：尽管55.1%的受访者表示其组织将AI代码生成视为软件供应链的一部分，但很少有组织根据这一认知调整其安全实践。
• 安全团队压力增大：58.7%的AppSec团队表示难以跟上AI驱动的开发速度，反映出AI工具对安全流程的挑战。
• 认知失调普遍存在：87%的受访者担心AI代码生成工具的安全影响，尽管他们普遍认为AI代码是安全的，这种认知失调可能是由于从众心理和对权威系统的信任。

关键信息

AI代码工具使用情况

• 使用率高：AI代码工具已成为大多数组织软件供应链的一部分。
• 工具种类多样：受访者广泛使用多种AI代码工具，如ChatGPT（70.3%）、Amazon CodeWhisperer（47.4%）、GitHub Copilot（43.7%）等。
• 多工具使用：多选题结果显示，开发者可能在不同任务中使用多个AI工具。

安全性问题

• AI代码不安全：AI工具频繁生成不安全代码，如推荐不安全的开源库。
• 开发者信任过高：75.8%的受访者认为AI生成的代码比人类更安全，这与实际研究结果形成鲜明对比。
• 安全措施不足：仅18.4%的受访者表示其组织增加了安全扫描，表明安全实践的调整相对有限。

安全团队挑战

• AppSec团队压力：58.7%的AppSec团队表示难以跟上AI带来的开发速度。
• 安全政策执行不力：开发者普遍绕过安全政策，增加了潜在风险。

教育与自动化的重要性

• 认知偏差：开发者对AI代码安全性的高估可能源于社会认同和对权威系统的信任。
• 教育需求：组织需要加强安全意识教育，帮助开发者理解AI代码的潜在风险。
• 自动化安全扫描：通过自动化安全扫描和代码审计，可以有效减少AI代码带来的安全漏洞。

图表摘要

• AI代码安全性评分：75.4%的受访者认为AI代码修复建议的安全性良好或优秀。
• 开发者绕过安全政策：79.9%的受访者表示其组织的开发者经常绕过安全政策使用AI代码工具。
• 开源代码安全验证：仅24.8%的受访者使用SCA工具验证AI推荐的开源组件安全性。
• 安全扫描自动化率：仅9.7%的受访者表示其团队自动化了75%或更多的安全扫描。
• AppSec团队压力分布：
  • 20.5%：显著挣扎
  • 38.2%：中度挣扎
  • 35%：应对良好
  • 6.3%：未受影响

结论

文档强调，组织必须改变其对AI代码工具的使用和安全策略，以应对AI代码带来的安全风险。这包括加强安全措施、提高自动化水平以及对开发团队进行安全意识教育，以纠正对AI代码安全性的错误认知并避免过度依赖AI生成的代码。