2025 年十大预测：Secure Code Warrior 论 AI 与“安全设计”的影响

展望 2025 年，在经历了一个既令人兴奋又充满挑战的年份之后，AI 与软件开发的融合将继续以深远的方式塑造开发者社区。

企业正面临关于 AI 使用的艰难抉择，以支持长期的生产力、可持续性和安全投资回报率。过去几年我们已明确意识到，AI 永远无法完全取代开发者的角色。从“AI + 开发者”的协作模式，到围绕“安全设计”（Secure-by-Design）期望日益增长的压力（与困惑），让我们深入探讨一下未来一年我们可以期待些什么：
‍

重写 AI 公式：不是 AI 取代开发者，而是 AI + 开发者

“随着企业在 2025 年被迫采取剧烈的成本削减措施，开发者被 AI 工具取代也就不足为奇了。但正如生成式 AI 刚问世时的情况一样，即便经过多年的更新迭代，它目前仍不是一个安全、自主的生产力驱动引擎，尤其是在编写代码时。AI 是一项具有高度颠覆性的技术，有着许多令人惊叹的应用和用例，但它不足以替代熟练的人类开发者。我认同Forrester 的预测，即这种在 2025 年转向 AI 取代人类的趋势很可能会失败，尤其是在长期来看。我认为‘AI + 开发者’的组合比单纯的 AI 更能实现这一目标。”

‍

AI 带来的风险与机遇并存

“2025 年期间，我们将看到 AI 生成代码引发的新风险案例，包括幻觉劫持（hallucination squatting）、投毒库（poisoned libraries）以及影响软件供应链的漏洞利用等已知问题的负面影响。此外，正如谷歌 Project Zero 刚刚展示的那样，AI 将更多地被用于发现代码缺陷，并被利用来编写针对这些缺陷的漏洞利用程序。相比之下，我认为我们还将看到企业开发者在利用这些工具进行工作时，在不增加过多额外风险的情况下达到初步的成熟度。然而，这只是例外而非规则，且取决于企业是否积极评估开发者风险并相应地调整其安全计划。在 2025 年必将到来的快速演变的威胁环境中，只有那些具备安全意识、使用经批准的 AI 编码工具的熟练开发者，才能更快地编写出代码；而缺乏安全意识和通用技能的开发者只会以更快的速度引入更多问题。”

‍

走出 [AI] 的阴影

“围绕 AI 的立法格局正在迅速变化，以跟上该技术及其采用率的频繁进步。2025 年，安全领导者需要确保他们已准备好遵守潜在的指令。以下组合——了解‘影子 AI’的本质并确保其未在组织内使用，随后严格仅使用安装在公司系统上的经批准、验证的工具——将被证明是未来一年对企业最关键的举措。这将促使企业对开发团队进行更深入的评估，以了解如何最好地支持他们持续提升安全能力，并将其应用于工作的各个方面。”

‍

AI 工具的安全地位将成为开发者的关键衡量标准

“目前，就大语言模型（LLM）驱动的编码工具而言，市场处于无序竞争状态。新的工具层出不穷，每一个都标榜自己拥有更好的输出、安全性和生产力。进入 2025 年，我们需要一个标准，据此对每个 AI 工具的安全地位进行基准测试和评估。这包括编码能力，即其生成具有良好、安全且不易被威胁行为者利用的编码模式的能力。”

‍

AI 将增加初级开发者进入该领域的难度

“开发者面临的准入门槛比以往任何时候都高。随着混合办公和分布式劳动力的普及，以及入门级职位所需的技能水平不断提高，初级开发者的门槛逐年攀升。2025 年，雇主将开始期望初级开发者在入职时就已经具备在工作流程中安全集成和优化 AI 工具的技能和知识，而不是投入时间进行在职培训。在未来一年内，未能学会如何在开发流程中利用 AI 工具的开发者，将面临自身职业发展的严重后果，并将在获得工作机会时遇到挑战。他们可能会阻碍自己的‘编码许可’，从而无法参与更复杂的项目，因为安全使用 AI 的能力最终将成为关键。”

‍

时间将阻碍企业实现“安全设计”

“开发者需要充足的时间和资源来提升技能，并熟悉正确的工具和实践，以实现‘安全设计’。除非企业能获得安全和工程领导者的支持，否则他们的进展将受到阻碍，甚至完全停滞。当企业试图削减成本或限制资源时，他们往往优先考虑即时的补救措施，而非长期的解决方案——专注于那些功能‘尚可’但其他方面‘平庸’的多面补救工具。2025 年，这种失衡将导致优先考虑安全软件开发的企业与那些只想通过权宜之计来跟上不断变化的环境的企业之间，产生更大的差距。”

‍

供应链安全审计将在缓解全球风险方面发挥关键作用

“所有外包/第三方供应商都将开始受到更严格的审查。即使你在内部拥有最出色的安全计划，但如果你外包合作的公司不践行‘安全设计’，整个安全框架都可能受到威胁。因此，企业将对他们的外包工作进行严格审计，迫使业务领导者遵循严格的安全和行业合规准则。归根结底，安全团队的成功取决于全面的、360 度的视角——包括在整个组织及任何外部合作伙伴之间采取统一的方法。”

‍

AI 将在“去伪存真”方面发挥重要作用

“开发团队常受困于代码漏洞扫描工具的高误报率。他们如何才能确定所分配的漏洞确实构成安全风险？ 2025 年，AI 将成为帮助开发者在代码修复过程中“去伪存真”的关键工具，通过提供对代码本身的深度理解，利用机器学习根据上下文更好地优先处理真实威胁，从而减少提高安全警报准确性所需的时间。这将使团队能够专注于真正构成风险的漏洞，提升整体效率，并实现更快、更安全的开发周期。”

‍

基准测试将成为企业实现“安全设计”目标的解决方案

“缺乏安全基准测试在 2025 年将对企业造成不利影响，因为它们将无法衡量自身在达到‘安全设计’标准方面的进展。如果没有基准测试系统来评估团队对安全编码实践的遵循情况，企业可能会在无意中引入导致重大安全漏洞的隐患。一旦发生违规，企业很可能没有时间去部署基准测试系统，而是在未评估开发团队安全成熟度的情况下被迫加速推进‘安全设计’计划，最终使组织面临更大的风险。”

‍

AI 生成代码带来的技术债务代价

“众所周知，行业目前已面临严重的技术债务问题，这还是在现有代码的基础上。随着开发者盲目依赖本质上不安全的 AI 生成代码，加之高层监管不足，情况只会进一步恶化。这种态势极有可能导致明年报告的 CVE 数量激增 10 倍。”

‍

为了在 2025 年取得成功，企业需要负责任且安全地引入 AI，并为开发团队提供相应的培训和风险缓解投入。随着明年迎来 CISA“安全设计”承诺签署一周年，那些优先考虑安全开发方法、以最大程度消除 AI、第三方安全隐患及其他新兴威胁相关风险的品牌，才能保持竞争优势。