充分利用 AI 创新的前提是始于安全代码

软件开发人员已表现出利用生成式人工智能 (AI) 编写代码的意愿，并且总体上取得了一些不错的成果。但也有大量迹象表明，他们可能正在玩一场危险的游戏。

根据 GitHub 最近的一项 调查显示，超过 90% 的美国开发人员正在使用 AI 编码工具。他们认为这些工具带来了诸多优势，例如缩短完成时间、快速解决突发事件以及营造更具协作性的环境，而这些对他们来说至关重要。使用 AI 工具可以让开发人员从日常琐事中解脱出来，从而专注于更具创造性的工作，这不仅有利于公司，还能有效降低职场倦怠的风险。

然而，研究也表明 AI 工具在编写代码时容易 引入缺陷。Snyk 的一项 调查发现，尽管 75.8% 的受访者认为 AI 生成的代码比人工编写的代码更安全，但 56.4% 的人承认 AI 有时会引入编码问题。令人担忧的是，80% 的受访者表示他们在开发过程中绕过了 AI 代码安全策略。

自 OpenAI 的 ChatGPT 于 2022 年 11 月问世以来，生成式 AI 模型在金融服务领域的代码开发流程中迅速普及，正如其在其他许多领域的发展一样。GitHub Copilot、OpenAI Codex 以及 GitHub Copilot、OpenAI Codex 以及 不断增加的其他模型快速涌现，表明我们对生成式 AI 的潜力和影响才刚刚触及皮毛。但要让这种影响发挥积极作用，我们必须确保其生成的代码是安全的。

编码漏洞可能会迅速蔓延

无论是人工开发还是 AI 模型生成，代码都难免 包含一些错误。随着 AI 助力加速代码开发以满足高度分布式云环境日益增长的需求，坏代码在被发现前大范围传播的可能性可能会增加。

用于编写代码的 AI 模型会摄取数以千计执行各种任务的代码示例，然后利用这些示例来创建自己的代码。但如果这些样本本身就包含缺陷或漏洞（无论最初是由人类还是其他 AI 创建的），模型就可能将这些缺陷转移到新的环境中。

考虑到 研究表明 AI 模型无法可靠地识别其所用代码中的缺陷，因此在防范缺陷和漏洞传播方面几乎没有内置防御机制。AI 不仅会犯编码错误，还会重复自身及其他来源的错误，直到漏洞在后续环节被发现——这可能表现为使用该软件的公司遭遇了成功的安全入侵。

防范编码缺陷泛滥的真正防线在于人类与 AI 模型的协作。人类开发人员应监督 AI 的代码编写工作，并作为抵御不安全编码实践和脆弱代码的把关人。但要实现这一点，开发人员必须接受全面的安全代码编写最佳实践培训，以便能够识别 AI 可能犯下的编码错误并迅速予以纠正。

AI 代码创建与修复面临的挑战

以 ChatGPT 为代表的大型语言模型 (LLM) 的突然爆发是一把双刃剑。一方面，企业和普通用户通过利用 AI 处理耗时、繁琐或困难的任务，获得了巨大的生产力提升。另一方面，盲目信任 AI 处理工作而导致失败的例子也比比皆是。

AI 模型曾犯下 明显的错误，表现出偏见，甚至产生 完全虚构的内容。在许多情况下，问题的根源在于训练数据不足或不负责任。任何 AI 模型的质量都取决于其训练数据，因此确保训练数据全面且经过仔细审查至关重要。即便如此，错误仍不可避免。

AI 编码应用也面临许多同样的障碍。事实证明，AI 生成的代码包含一系列缺陷，例如跨站脚本攻击和代码注入漏洞，以及针对 AI 和机器学习 (ML) 的特定攻击，如 提示词注入。此外，AI 模型在“黑盒”中运行，其处理过程不透明，这使得安全或开发团队无法了解 AI 是如何得出结论的。因此，模型可能会反复犯同样的错误。这些影响代码编写的缺陷同样会延伸到使用 AI 进行 代码修复 和满足合规性要求方面。

AI 模型创建或重复缺陷的可能性已经增长到一定程度，以至于 LLM 现在拥有了属于自己的开放式 Web 应用程序安全项目 (OWASP) 十大漏洞列表。

开发人员与 AI 可以携手创建安全代码

对 AI 生成代码中潜在缺陷的担忧可能会让一些组织在推进该技术时产生短暂的犹豫。但其潜在收益不容忽视，尤其是随着 AI 开发人员不断创新和改进模型。以金融服务行业为例，它不太可能走回头路。银行和金融服务公司本身就是技术驱动型企业，他们所处的领域要求他们始终寻求竞争优势。

关键在于以最小化风险的方式部署 AI 模型。这意味着开发人员必须具备安全意识，并接受过安全编码最佳实践的全面培训，从而能够自行编写安全代码，并密切监控 AI 模型生成的代码。通过 AI 引擎与人类开发人员的紧密协作，并由开发人员把控最终决策，企业既能获得生产力和效率的提升，又能加强安全性、降低风险并确保合规。

如需全面了解安全编码如何助力金融服务公司实现成功、安全与盈利，请阅读 Secure Code Warrior 最新发布的指南：金融服务安全趋势终极指南。

‍

‍

请访问 Secure Code Warrior 博客页面，获取关于网络安全和日益严峻的威胁形势的更多见解，并了解如何利用创新技术和培训来更好地保护您的组织和客户。

‍