81% компаний выпускают небезопасный код: исследование Checkmarx

Исследование, проведённое компанией Checkmarx среди 1 500 специалистов по информационной безопасности, включая CISOs (Chief Information Security Officers — директора по информационной безопасности), менеджеров по безопасности приложений и разработчиков, выявило тревожный факт: 81% компаний сознательно выпускают программный код с уязвимостями. Это подвергает опасности как самих производителей, так и их пользователей — возможность хакерских атак становится реальной угрозой.

Примерно половина опрошенных уже используют искусственный интеллект для создания кода с помощью специальных средств безопасности. При этом треть респондентов (34%) признались: более 60% их кода сгенерировано именно искусственным интеллектом. Такой подход опасен, потому что ИИ часто производит фрагменты с уже известными уязвимостями «по умолчанию».

Почти все опрошенные (98%) столкнулись с инцидентами, связанными с уязвимым кодом за последний год. Тем не менее, большинство компаний продолжают выпускать небезопасный программный продукт, не внедряя при этом эффективные меры защиты.

В отчёте также отмечается: использование генеративного ИИ размывает личную ответственность за написанный код, ведь теперь он не привязан к конкретному разработчику. Расширился и фронт кибератак — уязвимости, которые раньше можно было закрыть ручной экспертизой, теперь снова открыты для злоумышленников.

Причины такой ситуации — популяризация искусственного интеллекта в разработке. Всё больше программистов выбирают редактирование автосгенерированного кода, а не пишут его с нуля — это и называется «vibe coding». Из-за отсутствия строгих правил эксплуатации ИИ компании оказались в идеально сложившейся «буре рисков».

Менее половины респондентов пользуются такими базовыми инструментами кибербезопасности, как DAST (динамический анализ безопасности приложений) и сканирование IaC (инфраструктуры как кода). Примерно столько же применяют DevSecOps-инструменты (безопасная разработка и эксплуатация ПО).

Checkmarx подчёркивает: безопасность должна закладываться в проекты с самого начала — на уровне кода. Необходимо выстроить чёткие политики использования ИИ. И если разработчики всё равно пользуются искусственным интеллектом, компании не должны запрещать им это, а могут, наоборот, внедрять специализированный ИИ для поиска и устранения уязвимостей.

Как резюмирует вице-президент Checkmarx по маркетингу портфеля продуктов Эран Кинсбрунер: «ИИ-код только будет множиться; именно защищённые решения станут главным конкурентным преимуществом в ближайшие годы».