Обнаружение уязвимости — простая часть работы по обеспечению безопасности. А вот всё, что следует за этим (разобраться, что она означает, решить, что менять, организовать проверку изменений), и заполняет рабочий календарь. Cloudflare заявляет, что теперь использует инструменты OpenAI, чтобы сократить эту вторую часть процесса.
Что на самом деле говорится в сообщении
Источником для этой статьи служит краткая сводка OpenAI, в которой содержатся два утверждения.
- Daybreak для задач безопасности. Cloudflare использует OpenAI Daybreak, чтобы исследовать уязвимости и предлагать исправления для проверки.
- Codex для повседневной разработки. Разработчики Cloudflare используют Codex, чтобы ускорять разработку и повышать качество кода.
Вот и всё. В заголовке первый пункт подаётся как связь между обнаружением уязвимостей и защитой — это лаконичный способ сказать, что компания хочет сократить разрыв между «мы нашли проблему» и «вот возможное исправление».
Что заслуживает внимания: исправления отправляются на проверку
Формулировка имеет значение. Согласно описанию, Daybreak предлагает исправления. Но, как следует из сводки, не внедряет их. Фраза «для проверки» помещает контрольную точку между предложением инструмента и системой в продакшене — именно там большинство команд безопасности и хотели бы её видеть.
В сводке не говорится, кто проводит проверку, сколько времени она занимает и как часто предложенное исправление принимают без изменений. Именно эти показатели позволили бы понять, действительно ли меняется работа команды безопасности или речь лишь о более удобном способе готовить патчи. В доступных материалах этих данных нет, поэтому здесь они тоже не приводятся.
Два инструмента, две задачи
В сообщении ненавязчиво проводится граница между двумя видами работы. Daybreak — на стороне защиты: сначала исследовать, затем предлагать. Codex — на стороне разработки: разработчики используют его, чтобы работать быстрее и, как сказано в сообщении, повышать качество кода.
На бумаге такое сочетание выглядит разумным. Код пишут, в нём находят уязвимости, а исправления — это снова код. Компания, которая разрабатывает много ПО, очевидно, заинтересована в инструментах на обоих концах этого цикла. Связаны ли эти инструменты между собой внутри Cloudflare или ими просто пользуются разные команды, в сводке не говорится.
Чего мы не знаем
Сводка короткая, и к тому же в ней компания сама рассказывает о своих отношениях с клиентом. В ней нет:
- Количественных результатов, например данных о сэкономленном времени или числе устранённых уязвимостей.
- Сведений о том, как развёрнут Daybreak и с какими системами Cloudflare он взаимодействует.
- Описания того, как Codex используют в повседневной работе и относительно чего измеряют «улучшение качества кода».
- Каких-либо заявлений самой Cloudflare.
Пока эти подробности не появились, выводы стоит делать сдержанные. Cloudflare указана как пользователь обоих продуктов, а заявленные сценарии использования выглядят правдоподобно. Доказательства их эффективности пока сводятся к одному прилагательному.
Главный вывод
Интересно здесь не утверждение о том, что ИИ-инструмент способен анализировать уязвимости. А то, что его результат попадает на проверку к человеку прежде, чем что-либо меняется. Это та самая скучная мера предосторожности, благодаря которой инструмент безопасности становится пригодным к использованию, и в то же время — та деталь, которую обычно вырезают из сводки в два предложения. Хотелось бы увидеть более подробный рассказ.