观测并保护 ADLC：面向 CISO 和开发团队的 AI 使用四点框架

如果你一直关注行业瞬息万变的格局，就会明白我们正面临的现实：问题不在于是否应该使用生成式 AI 来编写代码，也不在于未来生成式 AI 产出的代码占比是否会增加。我们早已过了观望阶段。我们必须解决的真正问题是，在生成式 AI 和 AI 智能体生成代码并提交变更时，如何保持安全与合规。软件开发生命周期（SDLC）已在我们眼前演变为智能体开发生命周期（ADLC），坦率地说，我们在保持其安全性方面的最佳实践已然滞后。

为了充分利用生成式 AI 带来的显著优势，我们提出了一套四点基础框架，旨在帮助安全领导者以更高、更具针对性的安全最佳实践标准来部署 AI 编码工具和智能体。该框架详细阐述了企业目前及未来在智能体 AI 影响力日益增强的情况下，如何确保软件开发的安全与稳健。

不容忽视的 AI 生成代码风险

自 2022 年 11 月 ChatGPT 发布并迅速带动其他大语言模型（LLM）兴起以来，生成式 AI 已成为触手可及的工具，其在代码生成领域的应用也成为科技界最热门的话题之一。虽然它带来了巨大的生产力提升，但 AI 的双刃剑效应也很快显现。尽管一些研究表明 AI 生成的代码在安全性上可能与人工编写的代码相当，但真正的风险在于 AI 生成的错误在更广泛的软件生态系统中传播的速度和频率。

Gartner 的调查显示，52% 的 IT 领导者预计其组织很快就会使用生成式 AI 来开发软件，因此我们不能行动迟缓，也不能坐等立法环境变得更加明确。

构建更安全 AI 代码的基石

在 Secure Code Warrior，我们认为这套 AI 编码工具安全使用框架并非终点，而是一个组织可以立即采用的关键起点：

1. 制定规则集： 首先，开发人员需要明确的指导来使用 AI 编码工具。例如，我们的 SCW AI 安全规则（已作为免费资源在 GitHub 上发布）为使用 GitHub Copilot、Cline、Roo、Cursor、Aider 和 Windsurf 等主流工具的开发人员提供了结构化指导。这些规则设计轻量，旨在作为实用的起点而非详尽的规则手册。它们按领域（如 Web 前端、后端和移动端）组织，高度聚焦于安全，涵盖了注入漏洞、不安全处理、弱身份验证流程以及跨站请求伪造（CSRF）防护等常见问题。
2. 选择正确的 AI 技术栈： 这不仅关乎使用 AI，更关乎选对工具。组织需要关注所用 AI 工具的安全效能，确保其专为满足安全环境的需求而构建。你应该能够利用 AI 工具进行主动的、以开发人员为主导的威胁建模，而不仅仅是生成代码。当正确使用合适的 AI 工具时，它们实际上能增强安全性并防止许多错误进入开发流水线。
3. 精准的 AI 治理： 缺乏可见性和治理是滋生“影子 AI”并导致不安全代码在组织内蔓延的最快途径。我们需要具备深度可观测性的工具，使组织能够有效管理 AI 工具的采用、MCP 的使用以及智能体技术所做的提交。例如，通过将 AI 工具的使用与开发人员的安全编码技能直接关联，领导者可以保持监督。通过持续的学习计划提升开发人员技能，可确保在软件开发生命周期（SDLC）早期安全地使用 AI，从而在不牺牲安全性的前提下加快创新。你现在就可以通过 SCW Trust Agent: AI 实现这一点。
4. 自适应学习路径： CISO 必须通过提供实践性、真实场景下的安全编码技能提升的教育项目来赋能开发人员。衡量他们在获取新技能方面的进展，并观察开发人员的提交记录以评估他们日常应用这些技能的效果（尤其是他们复核 AI 工具产出的能力）至关重要。通过利用基准来确立所需技能并衡量教育进度，组织可以有效管理软件开发中 AI 的使用。

想了解学习路径和 AI 治理的实际应用吗？ 预约演示。

总结

正如任何开发人员所知，AI 编码工具功能极其强大，但 如何 使用它们决定了它们对安全和合规的支持程度。具备安全素养的开发人员及其管理者如果能从开发周期之初就遵循此框架来安全地利用 AI 编码工具，就能将代码的质量和安全性提升十倍。

而那些不这样做的人呢？遗憾的是，风险状况只会持续增长，而安全领导者将继续面对以同样速度扩大的 网络技能缺口。