AI 让应用开发更简单，安全防护必须跟上

销售经理清楚哪些交易卡住了，以及什么能帮助推动它们向前。直到最近，要把这种知识转化为一个应用，通常意味着要争抢工程团队的时间。AI 工具让这位经理可以直接构建应用，然后随着工作变化而修改它。一旦应用处理公司数据，一个错误就可能把记录暴露给本不该看到它们的人。它的创建者可能确切知道同事或客户应该能做什么，却不知道如何检查软件是否强制执行了这些限制。要求 AI 工具限制访问，并不等同于检查它是否已经这样做了。

1 查看图库 Gera Dorfman（Shai Shachar）AI 构建工具内置的安全检查不足以证明一个应用可以安全使用。安全团队需要能够理解这些平台如何构建和连接应用的工具，以便识别出暴露了什么，并帮助创建者修复它。这种支持应当让业务团队继续开发他们的应用，同时将安全专业知识内置于流程之中。一个在周末搭建的合作伙伴门户展示了这在实践中是什么样子。它的创建者是 Orca Security 的分销负责人，他凭借二十年与合作伙伴打交道的经验，为营销活动和销售管道构建了工具。AI 工具的内置扫描给该应用开了绿灯。创建者将应用的代码同步到公司的 GitHub 仓库，以便团队的安全工具可以扫描它。随后，公司的安全团队测试了谁可以访问其数据，并在生产前发现了问题，包括对其他合作伙伴记录的访问。创建者将这些发现反馈给 AI 构建工具，后者在几分钟内生成了修复。安全团队随后再次测试了这些更改。一家外部公司还在发布前进行了渗透测试。创建者现在几乎每天都修改该门户，更新会自动同步到 GitHub，并在到达时被扫描。安全审查并不需要将门户移交给工程团队。其创建者继续开发它，同时获得专业帮助来应对风险。要让这种关系在整个公司内成为常规做法，仅仅审查碰巧送到安全团队手中的应用是不够的。此外，员工有时会通过个人账户构建应用，绕过组织通常的开发流程。 一个小型销售仪表板可能使用一个可以读取整个客户数据库的账户。安全团队需要找到这些应用，识别它们可以读取的数据，并检查谁可以通过它们访问这些数据。应用的规模几乎说明不了它能暴露多少公司数据。一项发现随后必须导向可用的修复。告诉销售经理某个应用存在访问控制问题，并不能告诉他们该改什么。安全工具应当生成创建者可以反馈给 AI 构建工具以生成修复的发现。然后安全团队检查该更改是否消除了暴露，同时保留了应用预期的业务用途。

相关文章：

Orca：“攻击面演进的速度快于围绕它的安全模型”

Orca Security 收购 Opus 以自动化云风险修复AI 也让漏洞更容易被发现，每天都有新的缺陷浮出水面。同样的能力为安全团队提供了一种方式，可以将自动化测试扩展到员工创建的越来越多的应用上。这些工具必须以非技术创建者可以用来修复问题并更安全地继续开发应用的形式呈现其发现。Gera Dorfman 是 Orca Security 的首席产品官。