AI‑генерація патчів вразливостей вимагає людського перегляду

TL;DR

• •LLMs генерирують неправильні патчі у 53,9% випадків.
• •Повне вирішення вразливостей без зміни поведінки лише у 26% випадків.
• •Дослідження провела Off‑by‑1 Labs компании 1Password.
• •Аналіз охоплював тисячі реальних вразливостей у відкритому коді.
• •Високий рівень людського перегляду залишається обов’язковим для безпеки.

Як це змінить ваш ринок?

Компанії, які планують впроваджувати AI‑генерацію патчів як засіб скорочення часу реакції на вразливості, тепер повинні переглянути свої очікування. Низький відсоток повного успіху означає, що покладання виключно на моделі може призвести до залишення критичних дір або внесення нових дефектів. Тому бюджети на безпеку мають включати витрати на людський аудит AI‑виходів, а не лише на ліцензії або обчислювальні ресурси. Це зсуває акцент з чистої автоматизації на гібридний процес, де AI пропонує кандидатні виправлення, а фахівці підтверджують їхню коректність.\n

Визначення: AI‑генерація патчів — процес, при якому великі мовні моделі створюють зміни у вихідному коді з метою виправлення известних вразливостей без людського втручання.

Для кого це і за яких умов

• •Команди безпеки (SOC, CSIRT): потрібен доступ до інструментів AI‑патчу та процедури людського перегляду; мінімальна команда — один аналітик безпеки, час на перевірку одного патчу — 10‑15 хвилин.
• •Розробники DevOps: інтеграція AI‑патчу в CI/CD пайплайн можлива, але вимагає етапу zatвердження з людьми; без цього ризик впровадження дефектного коду збільшується.
• •Керівництво IT: слід планувати бюджет на тренінги з оцінки AI‑патчів та на інструменти логування змін; для компаній від 50 осіб витрати на додатковий людський контроль становлять приблизно 5‑10% від бюджету на безпеку.

Альтернативи