Immudella t-theddid fi fluss tal-iżvilupp bl-AI

Agħżel xenarju limitat

Ibda bi fluss tax-xogħol wieħed li n-nies jistgħu jifhmu. Pereżempju, aġent jaqra issue, jeditja repożitorju, iħaddem testijiet u jiftaħ pull request. Inkludi s-sistemi li jagħmlu dawn l-azzjonijiet possibbli.

Elenka l-assi importanti: kodiċi sors, informazzjoni tal-klijenti, kredenzjali, artifacts tar-rilaxx u disponibbiltà tas-servizz. Identifika min huwa responsabbli għalihom. Imbagħad identifika n-nies u s-sistemi li jistgħu jaqraw jew ibiddlu kull assi.

OWASP jirrakkomanda li timmudella s-sistema, tidentifika t-theddid, tagħżel ir-risposti u tivvalida r-riżultat. Uża l-metodu kmieni u aġġornah hekk kif tinbidel is-sistema. Gwida dwar l-immudellar tat-theddid.

Pinġi l-konfini tal-fiduċja

Għall-fluss fittizju minn issue għal PR, pinġi dawn il-konnessjonijiet:

Issue → agent → repository → test runner → artifact store → deployment

Żid il-fornitur tal-mudell u l-ħażna tas-sigrieti. Immarka fejn il-kontenut jiġi minn sors inqas affidabbli. Immarka fejn identità tikseb kapaċità ġdida, bħal meta tgħaddi mill-qari ta’ issue għall-kitba ta’ fajls fir-repożitorju.

Id-dijagramma tal-applikazzjoni waħedha ma turix ir-riskju kollu tal-iżvilupp. Database tal-produzzjoni tista’ tkun privata filwaqt li job tas-CI jesponi kredenzjali. Inkludi ambjenti temporanji u aċċess għall-appoġġ meta jaffettwaw ix-xenarju.

Ikteb rotta konkreta għal ħsara

Evita entrati bħal ‘l-AI tista’ ma tkunx sigura’. Ikteb min jaġixxi, azzjoni, assi affettwat u konsegwenza. Inkludi l-kundizzjonijiet meħtieġa biex iseħħ ix-xenarju.

Dawn huma eżempji, mhux lista sħiħa ta’ theddid. Id-data, l-għodod u l-ambjent operattiv tiegħek jiddeterminaw ix-xenarji rilevanti.

Agħżel rispons b’persuna responsabbli

Agħti prijorità lill-konsegwenzi u l-espożizzjoni kredibbli. Tippreżentax punteġġ numeriku bħala preċiżjoni li ma għandekx. Irreġistra l-inċertezza u l-evidenza li tista’ tbiddel il-prijorità.

Rispons jista’ jneħħi l-kapaċità riskjuża, inaqqas l-ambitu tagħha, iżid kontroll jew jaċċetta riskju residwu definit. L-aċċettazzjoni teħtieġ persuna responsabbli awtorizzata u raġuni. Ma għandhiex tkun konklużjoni ta’ aġent li ma ġietx riveduta.

Ibdel ir-rispons magħżul f’xogħol b’kundizzjoni verifikabbli ta’ aċċettazzjoni. ‘Tejjeb is-sigurtà tal-aġent’ hija diffiċli biex tiġi vverifikata. ‘Il-job tat-test ma jistax jaqra s-sigriet tal-produzzjoni’ tiddefinixxi limitu li jista’ jiġi ċċekkjat.

Irrevedi wara bidliet importanti

Konnettur, rotta lejn mudell, ambjent jew permess ġdid jistgħu jbiddlu l-mudell tat-theddid. Żid dawn il-bidliet mal-kundizzjonijiet għal reviżjoni. Uża wkoll inċidenti u evalwazzjonijiet li fallew biex taġġorna s-suppożizzjonijiet.

Ipprova l-eżerċizzju tar-reviżjoni tar-riskju biex tbiddel id-data, l-awtorità, l-udjenza u l-kundizzjonijiet tal-irkupru ta’ xenarju. Ir-riżultat jissuġġerixxi mistoqsijiet. Ma jissostitwixxix mudell tat-theddid speċifiku għas-sistema u ma jawtorizzax ix-xogħol.