澳大利亚政府与 CISA 在全球管理的最高层面开展合作，正在指导供应商提高软件质量和安全性标准。

软件安全性的显著提升需要对安全技能建设的大力支持，而对于开发人员而言，则需要强调围绕安全编码最佳实践的持续学习。令人耳目一新的是，全球各国政府正在以身作则，提供适当的指导，以减少暗藏的代码级漏洞。

澳大利亚女性安全网络（AWSN）为促进更多女性在澳大利亚担任网络安全职务做出了不懈努力。最近，我们与联邦银行（CBA）共同举办了安全编码tournament ，让精通安全的开发人员和专业人士在友好的竞争环境中展示自己的技能。

参加 7 月 17 日活动的有来自多个垂直领域的杰出女性代表，可以说，她们的贡献将有助于澳大利亚在 2030 年之前成为世界上网络最安全的国家之一。

认可更安全的未来

我们有幸邀请到澳大利亚网络安全协调员米歇尔-麦格尼斯（Michelle McGuiness）中将为 AWSN/CBA/SCWtournament 的联合活动提供支持。她直接谈到了澳大利亚的 "六大网络盾牌"（Six Cyber Shields）计划，并对 "按设计保证安全"（Secure-by-Design）原则表示赞同，她的话引起了在场致力于积极变革、提高软件设计和执行标准的网络专业人士的共鸣：

‍

‍

"我们希望让整个国家都参与到应对[网络安全]挑战中来，这包括确保我们建立一支强大的、多元化的，当然也是包容的、受欢迎的网络工作队伍。

我们的战略围绕六大网络盾牌展开，有助于保护我们的企业、组织和公民。也许与今天的活动最相关的是我们在该战略下开展的工作，其重点是 "设计安全 "和 "默认安全"。我们应该坚信，在购买数字设备或软件时，我们不会面临不必要的风险。

当然，工业界在帮助我们培养、发展和支持这些途径方面可以发挥重要作用，这有利于他们的公司，有利于我们的经济......有利于我们国家的安全......我赞扬Secure Code Warrior 和 CBA 以及......AWSN 在举办今天的活动中所发挥的领导作用"。

当你像女孩一样编码时会发生什么？

每当我们举办类似tournament 这样的大型活动时，总会有一些不可思议的事情让我眼前一亮。通常情况下，这些活动有数万名开发人员参与，而根据整个行业的统计，女性参与者的比例很小。

然而，女性参赛者往往会登上获奖者的领奖台并分享奖金。我认为，这充分说明了女性在传统上以男性为主的领域中的包容性。她们不仅有归属感，还能在团队中脱颖而出，成为一股令人向往的力量。

本次活动的竞争非常激烈，我们的总冠军贝拉-霍华德（Bella Howard ）和 山奈尔-海尔（Shanelle Haire）显然在开发人员驱动的安全实践前沿拥有光明的未来。她们在谈到获胜时说

"我们对获奖感到非常高兴！双人合作是我们成功的关键，我们相信我们的不同技能和经验可以完美互补。

我们还要感谢大家的出色表现。我们非常荣幸能够获胜，也非常享受这次活动。我们期待在下一次比赛中见到你们！"

让我们进一步了解他们：

‍

• 您学习安全编码技能有多久了？

我们都攻读了 IT 双学位，在这里，我们的安全编码技能开始成型。贝拉对网络安全产生了浓厚的兴趣，我们都参加了各种活动和研讨会，以扩展我们在安全领域的知识。

在我们的工作中，我们有机会使用Secure Code Warrior ，这对我们的发展很有帮助。Bella 对安全编码实践的关注增强了她作为安全分析师的知识，而 Shanelle 作为软件工程师的角色要求具备安全思维，这使得安全编码成为她职责中必不可少的一部分。

• 对于 STEM 领域中刚刚开始安全编码职业生涯的女性，您有什么建议吗？

我们强烈建议您参加安全社区，并向已在该领域工作的人员学习。加入由女性领导的社区也是获得女性支持的绝佳方式，因为她们曾站在你的立场上，可以为你提供宝贵的指导和鼓励。

参加安全编码Tournament 和其他行业相关研讨会等活动，在娱乐中学习和交流。寻找能够指导你的职业生涯并提供宝贵见解的导师。不要等到觉得自己什么都懂了才开始学习，亲身体验是最好的学习方式。

• 为了宣传网络安全最佳实践的重要性，您会做哪一件事？

必须强调的是，安全是每个人的责任。为了有效地实现深度安全，技术栈中的所有工作人员以及技术的所有用户都需要了解并遵守安全最佳实践。通过培养一种将安全视为集体责任的文化，我们可以更好地保护我们的系统和数据。

‍

我们感谢所有参与者，并期待与 AWSN 在未来的项目中开展合作。

‍

各组织都知道，只有通过开发人员驱动的安全性，才能成功实施安全设计原则。毕竟，开发人员负责设计、构建并最终提交为组织软件提供动力的代码。确保这些宝贵的贡献者掌握实施安全代码最佳实践的知识和技能绝对是至关重要的。 然而，实现这一点的挑战往往在于如何使开发人员的安全代码知识和技能与他们在构建软件时使用的编程语言相一致。

由于组织代码库中使用的编程语言数量庞大、种类繁多，安全团队往往完全不知情，因此这一挑战变得更加复杂。那么，CISO、AppSec 和工程领导者如何确保正在生成和提交的代码是由开发人员的安全代码知识和技能在该提交的特定编程语言中支持的呢？
‍

介绍 SCW 信托代理

Secure Code Warrior 已推出 SCW Trust Agent 来回答这一难题。SCW Trust Agent 为安全领导者提供了扩展开发人员驱动型安全所需的可视性和控制力，使开发人员和团队能够更快地交付代码，同时维护和提高所提交代码的安全性。
‍

SCW 信托代理如何工作？

SCW信任代理可连接到您的代码库，以评估每次代码提交的元数据。它会检查提交代码的开发人员、使用的编程语言以及代码发布的确切时间戳。然后，它将这一分析与 SCW 敏捷learning platform 的数据和洞察力结合起来，以确定开发人员是否具备该特定编程语言的足够安全知识。根据这些信息，它将按照您的策略配置返回该提交的健康度评级。这些策略可由管理员用户自定义和配置，他们可以根据项目或版本库的整体敏感度为提交设置特定的准则和要求，这些要求的阈值可高可低。
‍

加强安全态势

拥有这种可视性和可定制的控制，不仅能让企业深入了解其所有资源库的整体提交健康状况，还能提供所需的工具来加强其安全态势，通过采取积极主动的方法来降低风险。SCW Trust Agent可确保开发人员在进行提交时，了解并熟练掌握所使用的特定编码语言的安全含义。这种保证降低了无意中将漏洞引入代码并加以利用的可能性。
‍

优化开发生命周期

这种积极主动的方法不仅能改善组织的整体安全状况，还能在开发生命周期中推动新的优化。通过确保开发人员掌握安全代码知识和提交语言的技能，可以减少日后需要识别和补救的引入漏洞的数量。补救和返工往往会耗费开发人员大量的时间，经常会打断他们的工作流程，影响他们的开发速度。 通过积极主动的方法减少漏洞，可以最大限度地缩短这些修复周期，使开发团队专注于交付高价值代码和功能。
‍

扩展开发人员驱动的安全

SCW Trust Agent为企业提供了扩展开发人员驱动的安全计划所需的工具。首席信息安全官（CISO）和应用程序安全团队可通过对策略设计、应用和遵守情况的详细了解，获得应用适当治理、满足甚至超越合规标准所需的可见性和控制力。开发人员可以通过安全代码培训更快地交付安全代码，这些培训针对他们在交付代码时所使用的语言。

SCW信任代理可与任何基于Git的源代码管理工具配合使用，并通过多种连接选项（包括内部部署、基于云和手动上传）轻松连接您的代码库。欲了解更多信息，请访问www.scwtrustagent.com 或联系我们，我们很乐意与您探讨如何帮助您的组织加强其安全态势和扩展开发人员驱动的安全性。

‍

我们很高兴能继续就 SCW 平台的最新增强功能--SCW 信任分数（SCW Trust Score）进行讨论。这项开创性的功能于今年 5 月正式推出，代表着我们在为开发人员和组织提供编写安全代码所需的工具这一使命上取得了关键性的进展。

SCW 信任度得分的核心是提供有关贵组织的安全态势和安全编码实践有效性的宝贵见解。让我们来了解一下 SCW 信任分的主要优势和好处。

• 可见性： 通过学习和教育计划，团队中会出现不同的技能和能力，这些计划的成功依赖于各种因素。尽管接受了相同的安全代码计划，但团队往往会产生不同的专业技能，包括表现优异者、成绩一般者和需要额外支持者。SCW Trust Score 通过汇总个人开发人员在使用Secure Code Warrior 时的安全状况，为企业提供以数据为驱动的安全学习计划有效性衡量方法。
  
  
• 基准衡量标准：企业需要一个基准来确定其开发人员的安全状况钟形曲线，并指出需要优化的领域，从而真正打造出一支安全就绪、高绩效和高生产力的软件团队。 有了 SCW 信任度评分，企业就能根据行业基准和最佳实践来评估其安全状况。通过利用这一综合指标，利益相关者可以准确无误地确定优势领域和改进机会。
  
  
• 数据驱动：SCW Trust Score 利用了来自 600 多家公司和 250,000 名开发人员的 2,000 万个学习数据点。通过分析在我们平台上完成的所有学习活动，我们的算法会生成一个综合分数。该评分考虑的因素包括学习活动的广度和深度、活动理解能力、学习的经常性、工作描述、入职生命周期以及接受培训的开发人员总数。
  
  

最近，我们在 RSAC 上继续与客户和潜在客户进行对话，赢得了客户、合作伙伴和行业领导者的极大兴趣，对此我们深感自豪。

我们很高兴地宣布，我们将于 6 月 12 日举办网络研讨会，届时我们的首席技术官兼联合创始人马蒂亚斯-马杜（Matias Madou）将全面介绍 SCW 信任度评分及其在现实世界中的实际应用。我们期待您的光临。

最后，我们向为开发和完善 SCW 信任度评分做出贡献的每位客户和合作伙伴表示感谢。我们一起踏上了解各组织良好安全态势的征程

开发人员一直面临着保持技能敏锐和领先的挑战。随着技术的飞速发展以及新工具和框架的不断涌现，持续学习的必要性比以往任何时候都更为重要。在这个信息唾手可得的数字时代，开发人员可以利用按需学习内容的力量，推动自己的职业发展，在竞争激烈的软件开发领域中保持竞争力。

按需学习内容可为开发人员带来几大好处。按需资源提供了无与伦比的灵活性和便利性，使开发人员能够按照自己的节奏学习，并根据自己繁忙的日程安排和个人喜好来安排教育。此外，敏捷平台通常会根据个人目标和技能水平定制有针对性的学习路径，最大限度地提高学习效率，确保开发人员获得职业发展所需的技能。最终，按需学习培养了一种持续技能发展的文化，使开发人员在面对技术变革时能够保持敏捷和应变能力，确保他们在软件开发领域取得长期成功。

‍

在Secure Code Warrior ，我们致力于为开发人员提供最全面、最强大的内容。我们的目标不仅是提供优质的学习和开发资源，而且还要在正确的时间提供与开发人员当前需求相关的信息。我们的 "探索 "选项卡就体现了这一承诺。"探索 "是 SCW 平台中的一个内容库，旨在解决资源分散的难题。探索 "将所有培训内容整合到一个集中的位置，让用户毫不费力地全面了解可用的内容类型。无论学习者是想掌握一门新的编程语言还是探索复杂的概念，Explore 都能满足他们的需求。我们精心策划的内容目录迎合了广泛的兴趣和技能水平，确保每个人都能找到适合自己的内容。通过 Explore，学习者将发现大量的交互式教程、实践练习和真实场景，所有这些都旨在增强学习体验，让开发人员脱颖而出。

‍

‍

当今的技术生态系统以不断创新和颠覆为特征，因此对敏捷学习平台的需求变得越来越重要。传统的学习和技能开发方法已不足以跟上技术的快速发展和行业的动态需求。因此，企业开始转向敏捷学习平台，为开发人员提供所需的工具和资源，使他们能够在这个快节奏的环境中适应和发展，开发人员驱动的安全至关重要。

敏捷学习平台之所以至关重要，其中一个主要原因是它能够及时提供相关的学习内容。敏捷学习平台利用微学习模块和即时资源等动态内容交付机制，在开发人员需要的时候为他们提供所需的知识。敏捷学习平台的另一个特点是具有灵活性和定制能力，允许开发人员根据个人需求和偏好定制学习体验。无论他们喜欢互动教程、动手实验室还是视频内容，开发人员都可以选择最适合自己学习风格和时间安排的形式。

总而言之，敏捷学习平台在帮助开发人员在当今快节奏和不断变化的技术环境中茁壮成长方面发挥着至关重要的作用。通过提供及时、相关和个性化的学习体验，这些平台使开发人员能够掌握新技能，走在行业趋势的前端，并推动组织内部的创新。在Secure Code Warrior ，我们将开发人员放在首位，不断加强我们的平台。我们了解开发人员在制作安全软件过程中发挥的关键作用，因此我们确保我们的增强功能不仅能应对当前的挑战，还能让开发人员满怀信心地构建弹性代码。以下是我们最近实施的一些面向开发人员的平台增强功能，以强化这一承诺。

我们相信，通过 Microsoft Teams 等现代通信渠道，我们可以更有效地吸引您的开发人员。与 Microsoft Teams 的整合是我们在 SCW 平台上实现下一代用户沟通的第一步。邀请他们参加新的学习活动，并向他们发送课程学习活动的自定义提醒。您还可以使用 Teams 作为 "提示"（Nudges）的发送渠道，通过 Teams 通知提示课程参与者完成课程。

‍

我们的 "探索 "选项卡是开发人员驱动的产品创新的又一力作。无论用户是想提高自己的技能，还是想深入到新的领域，"探索 "都能为自定进度的培训和知识扩展提供一个全面的中心，从而确保无缝和丰富的开发人员体验。探索 "提供 64 种语言的 7,000 多个活动，使用户能够根据自己的喜好毫不费力地发现、播放和重放学习活动。单击此处了解有关 Explore和按需内容重要性的更多信息。

‍

最后，报告对于保持开发人员培训的有效性和吸引力至关重要。它们不仅能跟踪进度并确保符合安全标准，还能找出开发人员可以改进的不足之处。有了这样的洞察力，就可以进行有针对性的培训，从而加强安全防御，保持学习的相关性和针对性。报告还可以通过展示培训的效果来证明培训投资的合理性，从而确保对安全计划的持续支持。总之，报告是提高合规性和开发人员参与度的重要工具，让每个人都能在学习过程中保持正确的方向和参与度。有关 SCW 报告的一些令人兴奋的消息即将发布，敬请期待！

‍

要进一步了解最近发布的功能，请查看我们最新的产品讲座网络研讨会，或立即联系我们！

‍

金融服务机构有充分的理由确保其使用的软件代码是安全的。当然，一个显而易见的原因是需要保护他们的数据不被泄露，因为泄露的 PII、清理费用、罚款和赔偿以及对机构声誉的损害都会带来高昂的代价。另一个持续的原因是需要遵守一系列行业和政府法规。

由于金融服务处理大量敏感的个人和财务信息以及人们的资金，因此是一个受到严格监管的行业。根据所提供服务的不同，公司必须遵守各种规则和要求。

例如，支付卡行业数据安全标准（PCI DSS）因其保护持卡人数据的规定而闻名。萨班斯-奥克斯利法案》（Sarbanes-Oxely Act）对财务记录管理做出了规定。开展国际业务的公司都熟悉《数字运营弹性法案》（DORA）（这是一个具有约束力的风险管理框架），以及环球银行间金融电信协会（Swift）制定的全球资金转账标准。

加州消费者隐私法案》（CCPA）和《欧盟通用数据保护条例》（GDPR）等法律都对保护客户隐私和个人信息提出了要求。还有其他一些法律，如美国货币监理署（OCC）和欧洲中央银行（ECB）制定的法规。

如果这还不够，《国家网络安全战略》还特别指出，软件制造商应为无效的软件安全负责。网络安全和基础设施安全局（CISA）与 17 个美国和国际合作伙伴一起，发布了软件开发的安全设计原则指南。 

金融服务公司的一个共同点是，安全代码是帮助实现这些法规目标的关键因素，有助于更轻松地证明符合这些法规。这也强调了为什么开发人员需要培训和提高技能，以确保在开发流程的一开始就对代码实施安全保护。

以最新版的 PCI DSS 为例，我们来看看它是如何运作的。

安全编码（和开发人员培训）是 PCI DSS 4.0 的核心内容

PCI DSS 4.0 于 2024 年 4 月 1 日强制实施，其中包括对 PCI DSS 3.2.1 的几项重大更新--其中最重要的是强调了开发人员在确保软件代码安全方面的作用。

PCI 在过去早已认识到安全软件的重要性。2017 年发布的 2.0 版包含了对开发人员的指导，以确保移动设备上的安全交易。现在，4.0 版中的指南强调将安全最佳实践应用于软件开发，并包括一些关于开发人员培训的具体指导。 

尽管公司可能希望采用更彻底的方法，但这些要求通常都是概括性的。

例如，4.0 版中的一项要求指出，"开发和维护安全系统和软件的流程和机制是确定和理解的"。确保做到这一点的一个好办法就是让开发人员接受有关他们正在使用的编程语言和框架的精确培训，以填补任何知识空白。

另一项要求规定，开发定制软件的开发人员必须至少每 12 个月接受一次培训，培训内容包括

• 与其工作职能和开发语言相关的软件安全。
• 安全软件设计和编码技术。 
• 如何使用安全测试工具（如果正在使用）来检测软件中的漏洞。

但实际上，一年一次的培训并不足以解决核心安全问题和改掉不良的编码习惯。培训应该是持续的、可衡量的，并有一个技能验证过程，以确保培训得到很好的利用。

PCI DSS 4.0 还包括六十多项其他要求，涉及的领域包括预防和减轻各种类型的攻击、记录第三方软件组件、识别和管理漏洞以及其他安全措施。在每种情况下，组织最好都能彻底执行这些措施。有关攻击载体的培训应经常进行，而不是每年一次。第三方组件经常是漏洞的来源，应通过软件物料清单（SBOM）计划仔细清点。组织应确保明确界定管理漏洞的职责。

新版本还为组织满足其要求提供了一定的灵活性，注重结果而不是勾选方框，同时增加了对身份验证控制、密码长度、共享账户和其他因素的新要求。 

合规始于 SDLC 之初

这些法规的共同点是，它们试图为保护金融服务业的数据和交易设定高标准。而且，正如最新版的 PCI DSS 一样，它们越来越强调在软件开发生命周期（SDLC）之初安全代码的重要性。国家网络安全战略》和 CISA 的 "设计安全 "原则也要求软件制造商在软件出厂前承担安全责任，因此即使不受金融服务法规直接管辖的公司也需要遵守。

企业需要弥合 DevOps 团队（专注于开发速度）和 AppSec 团队（急于将安全纳入流程）之间存在的差距，方法是培训开发人员，使安全成为他们的固有方法。然而，这需要一套复杂的技能，其涉及的内容远非每年一次的培训课程或标准、停滞的教育计划所能提供的。培训应该是持续的、灵活的，通过积极的、真实世界的场景来吸引学员，并根据他们的工作时间安排分批进行。

金融服务公司需要确保安全，既要防止外泄，又要遵守日益严格的法规。就对公司声誉的影响和金钱成本而言，不合规的成本可能与外泄一样具有破坏性。例如，IBM 的《2023 年数据泄露成本报告》（Cost of a Data Breach Report 2023）发现，违规程度较高的企业平均面临的罚款和其他成本总计达 505 万美元，比实际数据泄露的平均成本高出50 万美元。

基于云的环境和数字交易的持续增长使得金融服务行业的软件安全变得至关重要，这也是 PCI DSS 等法规所认可的。确保软件安全的最佳方法是在 SDLC 开始时就进行安全编码。而实现这一目标的方法就是对开发人员进行有效的安全编码培训。 

要全面了解安全编码如何帮助金融服务公司确保成功、安全和利润，您可以阅读最新发布的Secure Code Warrior 电子书：金融服务安全趋势终极指南。

查看 Secure Code Warrior博客页面，了解有关网络安全、日益危险的威胁环境的更多信息，以及如何利用创新技术和培训来更好地保护您的组织和客户。

‍

在发现一个阴险的软件供应链漏洞后，网络安全行业再次进入高度警戒状态。该漏洞影响到主要 Linux 发行版中的 XZ Utils 数据压缩库，被记录在 CVE-2024-3094 下，归结起来就是一个曾被信任的志愿系统维护者故意插入的后门。

值得庆幸的是，在恶意代码进入稳定的 Linux 版本之前，另一位维护者发现了这一威胁，但它仍然给那些已经开始运行作为 Fedora Rawhide 一部分的 XZ Utils 5.6.0 和 5.6.1 版本的用户带来了问题，并敦促企业将其作为紧急优先级打补丁。如果没有及时发现，其风险状况将使其成为有史以来最具破坏性的供应链攻击之一，甚至可能使 SolarWinds 黯然失色。

对社区志愿者维护关键系统的依赖已被广泛记录在案，但在像此次事件这样具有重大影响的问题浮出水面之前，却很少被讨论。虽然他们的不懈努力对开源软件的维护至关重要，但这也凸显了在开发人员层面认真强调安全技能和意识的必要性，更不用说加强对软件仓库的访问控制了。

XZ Utils 后门是什么，如何缓解？

3 月 29 日，红帽发布紧急安全警报，通知 Fedora Linux 40 和 Fedora Rawhide 用户，最新版本的 "XZ "压缩工具和库包含恶意代码，似乎是专门为未经授权的第三方访问提供便利而构建的。这个人花费了无数的时间来赢得其他维护者的信任，在两年多的时间里为 XZ Utils 项目和社区做出了合法的贡献，在多个 sockpuppet 账户削弱了志愿者项目所有者 Lasse Collin 的信心之后，最终赢得了 "可信维护者 "的地位：

‍

‍

这个不寻常的场景是一个典型的例子，说明技术高超的人仍然会成为通常用来对付那些不那么精明的人的策略的受害者，这说明需要进行精确的、基于角色的安全意识培训。微软软件工程师兼 PostgreSQL 维护者安德烈斯-弗罗因德（Andres Freund）好奇心强、思维敏捷，才发现了这个后门，并将其版本回滚，从而阻止了可能成为近期最具破坏性的供应链攻击。

在NIST 的注册表中，该后门本身被正式列为严重程度最高的漏洞。最初，该漏洞被认为可以绕过 SSH 身份验证，但进一步调查发现，它可以在易受攻击的 Linux 系统（包括 Fedora Rawhide、Fedora 41、Kali Linux、openSUSE MicroOS、openSUSE Tumbleweed 和某些版本的 Debian）上执行未经身份验证的远程代码。

Jia Tan 似乎不遗余力地混淆恶意软件包，当在构建过程中触发该软件包构建自身时，它会通过 systemd 妨碍 SSHd 的身份验证。正如红帽公司详细说明的那样，在适当的情况下，这种干扰可能会让攻击者破解 SSHd 身份验证，并在未经授权的情况下远程访问整个系统。

‍

微软等公司已经发布了全面的指南，指导用户扫描系统中的漏洞实例并减轻其影响。CISA建议立即采取的行动是，受影响的开发人员和用户应将 XZ Utils 降级到未受攻击的版本，如 XZ Utils 5.4.6 Stable。

防止这种攻击类型的难度极大，尤其是在软件中使用开源组件时，因为供应链的安全性几乎没有保证和透明度。我们已经对付过软件供应链中的意外缺陷，但这种风险已经上升到包括恶意植入的安全漏洞，以破坏开源安全。

大多数开发人员都无法阻止这种性质的攻击，除非他们有强烈的安全意识、健康的安全知识和偏执狂。这几乎是一个需要威胁行为者心态的案例。不过，主要考虑因素应始终围绕内部控制的源代码库（即非开源）。只有具备经过验证的相关安全技能的人才能访问这些资源库。AppSec 专业人员可能会考虑类似分支级安全控制的设置，只允许具备安全技能的开发人员向最终主分支提交更改。

志愿维护者是英雄，但维持安全软件需要（应该）全村人的努力

对于软件工程领域之外的人来说，一个由志愿者组成的充满活力的社区在自己的时间里煞费苦心地维护关键系统是一个难以理解的概念，但这正是开源开发的本质，而且对于保护供应链的安全专业人员来说，这仍然是一个存在重大风险的领域。

开源软件几乎是每个企业数字生态系统的重要组成部分，值得信赖的维护者（其中大多数人都是真诚行事的）在无私地追求技术进步和完整性的过程中确实表现出了英雄气概，但让他们孤立地提供服务却是荒谬的。在这个以 DevSecOps 为中心的时代，安全是一项共同的责任，每个开发人员都必须掌握相关知识和合适的工具，以应对工作中可能遇到的安全问题。在软件开发过程中，安全意识和实践技能是不可或缺的，而安全领导者则有责任影响企业层面的变革。
‍

‍今天就在您的组织中 建立蓬勃发展的安全文化 。 Courses Secure Code Warrior 。

软件开发人员已经表明，他们已经准备好并愿意利用生成式人工智能（AI）来编写代码，而且他们也普遍看到了一些有利的结果。但也有很多迹象表明，他们可能在玩一场危险的游戏。

根据GitHub 最近的一项调查，超过 90% 的美国开发人员正在使用人工智能编码工具，他们认为人工智能编码工具具有更快的完成时间、快速解决事件和更具协作性的环境等优势。使用人工智能工具可以让开发人员放弃常规任务，让他们从事更有创造力的工作，使公司受益，同时也减少了在职倦怠的几率。

然而，研究也表明，人工智能工具在编写代码时容易引入缺陷。Snyk 公司的一项调查发现，尽管 75.8% 的受访者表示人工智能代码比人类代码更安全，但 56.4% 的受访者承认人工智能有时会引入编码问题。令人震惊的是，80% 的受访者表示，他们在开发过程中绕过了人工智能代码安全策略。

自 2022 年 11 月 OpenAI 的ChatGPT首次亮相以来，生成式人工智能模型的使用已经以迅雷不及掩耳之势在金融服务的代码开发流程中蔓延开来，在许多其他领域也是如此。GitHub Copilot、OpenAI Codex 以及越来越多的其他模型的快速出现表明，我们对生成式人工智能所能做的事情和所能产生的影响还只是略知一二。但是，要想产生积极的影响，我们必须确保其生成的代码是安全的。

编码错误会迅速传播

无论是由人类开发人员还是人工智能模型创建的代码，都会包含一些错误。随着人工智能帮助加快代码开发，以满足高度分布式、基于云的计算环境中日益增长的需求，错误代码在被发现之前大肆传播的几率可能会增加。 

正在接受编写代码训练的人工智能模型会摄取数千个执行各种任务的代码示例，然后它们可以借鉴这些示例创建自己的代码。但是，如果它所使用的示例包含缺陷或漏洞--无论它们最初是由人类还是其他人工智能创建的--模型就会将这些缺陷转移到新的环境中。 

研究表明，人工智能模型并不能可靠地识别其所使用代码中的缺陷，因此几乎不存在防止缺陷和漏洞扩散的内置防御措施。人工智能不仅会在编码时犯错，而且会重复自己和其他来源的错误，直到漏洞在某个地方被发现--也许是以使用它创建的软件成功入侵公司的形式。

防止编码漏洞扩散的真正办法是人类和人工智能模型共同合作。人类开发人员应该监督人工智能代码的编写，并对不安全的编码实践和易受攻击的代码进行检查。但要做到这一点，开发人员必须在安全代码编写的最佳实践方面接受全面培训，这样他们才能识别人工智能可能犯的编码错误，并迅速加以纠正。

创建和修复人工智能代码的挑战

像 ChatGPT 这样的大型语言模型（LLM）的突然爆发是一把双刃剑。一方面，公司和普通用户通过使用人工智能处理耗时、繁重或困难的琐事，极大地提高了工作效率。另一方面，也有很多例子表明，如果盲目信任人工智能来处理工作，会出现什么问题。

人工智能模型犯过明显的错误，出现过偏差，也产生过幻觉。在许多情况下，问题的根源在于训练数据不足或不负责任。任何人工智能模型的好坏都取决于它的训练数据，因此训练数据必须全面且经过仔细审核。但即便如此，还是会犯一些错误。

使用人工智能进行编码也面临许多同样的障碍。人工智能生成的代码已被证明包含一系列缺陷，如跨站脚本和代码注入漏洞，以及人工智能和机器学习（ML）特有的攻击，如提示注入。人工智能模型也是在黑盒中运行的，因为它们的过程并不透明，这就使安全或开发团队无法看到人工智能是如何得出结论的。因此，模型可能会重复犯同样的错误。可能影响代码编写的缺点同样适用于使用人工智能进行代码修复和满足合规性要求。 

人工智能模型制造或重复出现漏洞的可能性越来越大，以至于 LLM 现在有了自己的开放式 Web 应用程序安全项目（OWASP）十大漏洞列表。

开发人员和人工智能可携手创建安全代码

对人工智能生成代码潜在缺陷的担忧，可能会让一些组织在采用该技术时产生短暂的犹豫。但潜在的好处不容忽视，尤其是随着人工智能开发人员不断创新和改进其模型。金融服务业就不太可能把精灵放回瓶子里。银行和金融服务公司已经是技术驱动型企业，而且它们所处的领域一直在寻求竞争优势。 

关键是要以最小化风险的方式实施人工智能模型。这意味着开发人员要有安全意识，并接受过安全编码最佳实践的全面培训，这样他们才能自己编写安全代码，并密切监控人工智能模型生成的代码。让人工智能引擎和人类开发人员紧密合作，开发人员拥有最终决定权，公司就能获得提高生产力和效率的好处，同时还能提高安全性、限制风险并确保合规性。 

要全面了解安全编码如何帮助金融服务公司确保成功、安全和利润，您可以阅读最新发布的Secure Code Warrior 指南：金融服务安全趋势终极指南。

‍

‍

查看 Secure Code Warrior博客页面，了解有关网络安全、日益危险的威胁环境的更多信息，以及如何利用创新技术和培训来更好地保护您的组织和客户。

‍

最近，我有幸主持了一次网络研讨会，我们的首席技术官 Matias Madou 和Mednd.io的 Sharon Kochevsky 共同探讨了如何处理漏洞警报。会议期间，他们探讨了处理安全漏洞警报的挑战和解决方案。如果您错过了网络研讨会，下面是他们谈话的一些要点。当然，您也可以在这里点播网络研讨会的全部内容。 

人工智能对安全的影响

马蒂亚斯用自动驾驶汽车来比喻人工智能创建安全软件的现状。虽然自动驾驶汽车在技术上可以自动驾驶，但在路上行驶时仍然会遇到问题。例如，他提到了一种情况，自动驾驶汽车在路上遇到了以前从未遇到过的问题，结果会鬼使神差地坏掉。问题会出现，需要人类技术人员去解决。同样，如果开发人员盲目追随人工智能，代码中的错误和漏洞也会出现。  

为了让人工智能产生更好的产出，Matias 强调需要规律性和大量优秀的代码示例来训练开发人员的人工智能模型。虽然人工智能目前在通用框架上运行良好，但在实际应用中，它却无法在数百万行代码上运行。

他进一步解释说，经验丰富的开发人员可以从生成式人工智能的加速编码中获益，但那些没有受过训练的人可能会构成威胁，因为他们可以快速复制和粘贴错误代码。 

转向积极主动

讨论的一个主题是向主动行动转变。Sharon Kochevsky主张企业和AppSec项目应采取更加积极主动的方法来修复实际代码，而不是被动地关注安全报告。与马蒂亚斯的观点一致，他强调需要超越纯粹的行政管理做法，将重点放在结果上。专家小组还讨论了创建报告的主要领域，以及如何利用集成了实时仪表板和问题跟踪功能的安全产品。 

缩小差距 

Sharon 和 Matias 还发现了一个应该解决的关键问题：开发人员与安全管理人员之间的脱节。组织和企业目前正在增加安全卫士，以帮助弥合这一鸿沟。这些人是工程团队中的安全专家，有助于促进积极主动的安全措施。

不用说，我们只是触及了这一话题的表面，而对话还将延伸到这些网络研讨会之外；在我们这个不断发展的行业中，持续的讨论和参与至关重要。如果您想了解更多信息或重播会议内容，现在可以点播。

‍