Gerðu ógnalíkan fyrir þróunarferli með gervigreind

Veldu afmarkað dæmi

Byrjaðu á einu verkferli sem fólk getur skilið. Til dæmis les agent verkefnafærslu, breytir kóðasafni, keyrir próf og opnar pull request. Taktu með kerfin sem gera þessar aðgerðir mögulegar.

Skráðu verðmætin sem skipta máli: frumkóða, upplýsingar um viðskiptavini, aðgangsupplýsingar, útgáfu-artefakta og aðgengi að þjónustunni. Tilgreindu hver ber ábyrgð á þeim. Finndu síðan fólkið og kerfin sem geta lesið eða breytt hverjum þætti.

OWASP mælir með að gera líkan af kerfinu, greina ógnir, velja viðbrögð og sannreyna niðurstöðuna. Notaðu aðferðina snemma og uppfærðu líkanið þegar kerfið breytist. Leiðbeiningar um ógnalíkön.

Teiknaðu traustmörkin

Teiknaðu þessar tengingar fyrir ímyndaða ferlið frá verkefnafærslu að PR:

Issue → agent → repository → test runner → artifact store → deployment

Bættu við líkanaveitunni og leyndarmálageymslunni. Merktu hvar efni kemur frá heimild sem nýtur minna trausts. Merktu hvar auðkenni fær nýja heimild, svo sem að fara frá lestri verkefnafærslu yfir í ritun skráa í kóðasafni.

Skýringarmynd af forritinu einu sýnir ekki alla áhættu þróunarinnar. Gagnagrunnur í rekstri getur verið lokaður á meðan CI-verk afhjúpar aðgangsupplýsingar. Taktu með tímabundin umhverfi og stuðningsaðgang þegar þau hafa áhrif á dæmið.

Skrifaðu tiltekna leið til bilunar

Forðastu færslur á borð við „gervigreind gæti verið óörugg“. Skráðu geranda, aðgerð, verðmæti sem verður fyrir áhrifum og afleiðingu. Taktu með skilyrðin sem þurfa að vera til staðar svo atvikið geti gerst.

Þetta eru dæmi, ekki tæmandi ógnalisti. Gögnin þín, verkfærin og rekstrarumhverfið ráða því hvaða dæmi eiga við.

Veldu viðbragð með ábyrgðaraðila

Forgangsraðaðu eftir afleiðingum og trúverðugri útsetningu. Forðastu að láta tölulegt mat gefa til kynna meiri nákvæmni en þú hefur. Skráðu óvissuna og staðfestingargögnin sem gætu breytt forganginum.

Viðbragð getur fjarlægt áhættusama getu, takmarkað hana, bætt við vörn eða samþykkt skilgreinda eftirstæða áhættu. Samþykki þarf heimilaðan ábyrgðaraðila og rökstuðning. Það á ekki að vera niðurstaða agents sem enginn hefur yfirfarið.

Breyttu völdu viðbragði í vinnu með samþykktarskilyrði sem hægt er að sannreyna. „Bæta öryggi agents“ er erfitt að sannreyna. „Prófunarverkið getur ekki lesið leyndarmál rekstrarumhverfis“ skilgreinir mörk sem hægt er að athuga.

Endurskoðaðu eftir verulegar breytingar

Ný tenging, leið til líkans, umhverfi eða heimild getur breytt ógnalíkaninu. Láttu slíkar breytingar kalla á endurskoðun. Notaðu líka atvik og mat sem stenst ekki til að uppfæra forsendur.

Prófaðu æfinguna um áhættumat til að breyta gögnum, heimildum, notendahópi og endurheimtarskilyrðum dæmis. Niðurstaðan leggur til spurningar. Hún kemur ekki í stað ógnalíkans fyrir tiltekið kerfi og heimilar ekki vinnuna.