ИИ-помощник в платформе анализа кода Positive Technologies
Компания Positive Technologies объявила, что добавила ИИ-помощника PT Naira в PT Application Inspector – платформу анализа защищенности исходного кода программ и их компонентов. За время внутреннего тестирования компания разобрала с его помощью больше 3 тысяч предупреждений: ИИ верно распознал 94% реальных уязвимостей и отсеял 30% ложных срабатываний. С оценкой AppSec-эксперта его аргументация совпадала в 75% случаев.
Как поясняют в компании, разбор ложных срабатываний после триажа (первичной обработки и классификации уязвимостей в коде) съедает основное время в безопасной разработке. На одного AppSec-инженера во многих компаниях приходится около 500 разработчиков, за неделю накапливаются тысячи потенциальных уязвимостей, и на их разбор уходит до 90% рабочего времени. При этом инженеру нужно одинаково уверенно читать код на JavaScript, Python, Java и других языках и постоянно переключаться между проектами, в которые он не успевает погрузиться.
В этой ситуации в Positive Technologies поставили задачу дать AppSec-инженеру удобный ИИ-инструмент, который повысил бы эффективность и скорость его работы. Комментарии ИИ-триажа помогают быстрее разобраться самому, отсечь лишнее и донести до разработки только то, что действительно важно.
В ИИ-ответах в Application Inspector реализованы три ключевых сценария: вердикт по уязвимости, первичный разбор и подготовка аргументов для обсуждения с разработчиками. Пользователь может воспользоваться фильтрами по классам вердиктов, предложенного ИИ-ассистентом.
Оценивать ИИ-триаж по общей точности некорректно, поскольку пропустить реальную уязвимость намного дороже, чем не отсеять ложную. Поэтому качество работы ИИ-ассистента PT Application Inspector измеряли отдельно по двум направлениям. Первая метрика показывает, как часто ИИ-триаж корректно распознает реальные проблемы безопасности. Вторая показывает, какую долю ложных срабатываний можно отсеять и насколько сократится нагрузка на AppSec-инженера. Отдельно тестировали воспроизводимость: каждую задачу повторяли пять раз и засчитывали результат, только если ответ был верным во всех запусках.
Модель развернута и работает в защищенном облаке PT, данные не передаются третьим лицам. Компаниям и разработчикам не нужно закупать графические ускорители, чтобы получить доступ к ИИ-анализу кода.
До 1 марта 2027 г. базовый ИИ-триаж доступен бесплатно для всех пользователей PT Application Inspector даже с минимальной лицензией. Расширенную функциональность с автоматическим ИИ-триажем во время сканированиия можно получить, заполнив форму или обратившись к партнеру по продукту.