Positive Technologies добавила ИИ‑помощника PT Naira в PT Application Inspector, платформу анализа защищенности исходного кода программ и их компонентов. За время внутреннего тестирования компания разобрала с его помощью больше 3 тысяч предупреждений: ИИ верно распознал 94% реальных уязвимостей и отсеял 30% ложных срабатываний. С оценкой AppSec‑эксперта его аргументация совпадала в 75% случаев.
Первичную обработку и классификацию уязвимостей в коде называют триаж. Разбор ложных срабатываний после триажа съедает основное время в безопасной разработке. На одного AppSec‑инженера во многих компаниях приходится около 500 разработчиков, за неделю накапливаются тысячи потенциальных уязвимостей, и на их разбор уходит до 90% рабочего времени. При этом инженеру нужно одинаково уверенно читать код на JavaScript, Python, Java и других языках и постоянно переключаться между проектами, ни в один, из которых он не успевает погрузиться.
Мы не хотим и не предлагаем заменить AppSec-инженера. Наша задача — дать ему удобный ИИ‑инструмент, который повысит эффективность и скорость его работы. Комментарии ИИ‑триажа помогают быстрее разобраться самому, отсечь лишнее и донести до разработки только то, что действительно важно».
— Максим Митрофанов, Руководитель ML-команды Application Security в Positive Technologies
В ИИ-ответах в Application Inspector реализованы три ключевых сценария: вердикт по уязвимости, первичный разбор и подготовка аргументов для обсуждения с разработчиками. Пользователь может воспользоваться фильтрами по классам вердиктов, предложенного ИИ‑ассистентом.
Оценивать ИИ‑триаж по общей точности некорректно, поскольку пропустить реальную уязвимость намного дороже, чем не отсеять ложную. Поэтому качество работы ИИ‑ассистента PT Application Inspector измеряли отдельно по двум направлениям. Первая метрика показывает, как часто ИИ‑триаж корректно распознает реальные проблемы безопасности. Вторая показывает, какую долю ложных срабатываний можно отсеять и насколько сократить нагрузку на AppSec‑инженера. Отдельно тестировали воспроизводимость: каждую задачу повторяли пять раз и засчитывали результат, только если ответ был верным во всех запусках.
До 1 марта 2027 года базовый ИИ-триаж доступен бесплатно для всех пользователей PT Application Inspector даже с минимальной лицензией. Расширенную функциональность с автоматическим ИИ‑триажом во время сканирования, без лишних нажатий, можно получить, заполнив форму или обратившись к партнеру по продукту.
Модель развернута и работает в защищенном облаке PT, данные не передаются третьим лицам. Компаниям и разработчикам не нужно закупать дорогие графические ускорители, чтобы получить доступ к ИИ‑анализу кода.
Источник: ptsecurity.com