安全团队与开发团队之间的紧张关系

83% 的安全领导者表示，他们的开发人员目前使用人工智能来生成代码，57% 的人表示这已成为一种常见做法。

然而，72% 的人认为他们别无选择，只能允许开发人员使用人工智能来保持竞争力，63% 的人考虑过出于安全风险而禁止在编码中使用人工智能。

66% 的受访者表示，安全团队无法跟上人工智能开发人员的步伐。

因此，安全领导者感到他们正在失去控制，企业正面临风险，78% 的人认为人工智能开发的代码将导致安全清算，59% 的人因人工智能的安全影响而彻夜难眠。

63% 的安全主管认为，无法在组织内管理AI 的安全使用，因为他们无法了解 AI 的使用地点。

尽管存在担忧，但 47% 的公司制定了政策，以确保在开发环境中安全使用 AI。

在人工智能编写代码的新世界中，安全团队陷入了进退维谷的境地。开发人员已经受到了人工智能的强力驱动，不会放弃他们的超能力。

而攻击者正在渗透我们的队伍；最近的例子，比如长期干预开源项目和朝鲜渗透 IT，只是冰山一角。

如今，任何拥有大语言模型的人都可以编写代码，开辟了一条全新的战线。

代码才是最重要的，无论是开发人员使用人工智能进行超级编码、渗透外国特工，还是金融界人士从受过什么训练的法学硕士学位那里获得代码。

所以代码才是最重要的！我们必须验证代码的真实性，无论它来自哪里。

安全领导者对人工智能代码的主要担忧

在研究开发人员使用 AI 编写或生成代码的具体问题时，安全领导者提到了三个主要问题：

开发人员会过度依赖人工智能，导致标准降低

人工智能编写的代码无法得到有效的质量检查

人工智能将使用过时且维护不善的开源库

该研究还强调，不仅人工智能对开源的使用可能给安全团队带来挑战：

开源过剩：安全领导者估计，平均而言，61% 的应用程序使用开源。这种对开源的过度依赖可能带来潜在风险，因为 86% 的受访者认为开源代码鼓励开发人员提高速度，而不是鼓励开发人员采取最佳安全实践。

令人烦恼的验证：90% 的安全领导者信任开源库中的代码，其中 43% 表示完全信任——但 75% 表示不可能验证每一行开源代码的安全性。因此，92% 的安全领导者认为应该使用代码签名来确保开源代码是可信的。

最近的 CrowdStrike 中断显示了代码从开发人员到全球崩溃的速度有多。

代码现在可以来自任何地方，包括人工智能和外国代理。代码来源只会越来越多，而不是越来越少。

根据身份对代码、应用程序和工作负载进行身份验证，以确保其没有更改并被批准使用，这是我们今天和明天最好的选择。

我们需要将CrowdStrike 中断作为未来挑战的完美例子，而不是一个偶然的事件。

维护代码签名信任链可以帮助组织防止未经授权的代码执行，同时扩展其运营以跟上开发人员对人工智能和开源技术的使用。

在人工智能和开源既强大又不可预测的世界里，代码签名成为企业的基本防线。

但要实现这种保护，代码签名过程必须既强大又安全。这不仅仅是为了阻止恶意代码；组织需要确保每一行代码都来自可信来源，验证数字签名，并保证自签名以来没有被篡改过。

好消息是代码签名几乎无处不在；坏消息是，它往往没有得到可以帮助保证其安全的安全团队的保护。