在DevOps高速迭代的压力下，首席信息安全官（CISO）原本就在为帮助开发者遵循安全编码原则而头疼。如今，随着AI辅助开发彻底改写了代码的编写与交付方式，这个挑战正在急剧升级。
根据Gartner的预测，到2028年，使用AI编码助手的软件工程师比例将从两年前的约14%飙升至90%。Faros AI等机构的研究数据更是揭示了其实际影响：使用了AI的开发者，他们合并的拉取请求数量平均增加了98%。
这对安全团队意味着什么？代码量更大、产出更快，留给审查的时间却更少了。虽然理论上AI工具可以自动化代码审查中的许多手动环节，但目前尚未达到理想的高保真度。即便AI驱动的审查效率有所提升，对开发者的安全培训依然不可或缺——只是，培训的方式必须来一次彻底的变革。像云栈社区这样的技术社区，正是开发者交流这些前沿安全实践和思想碰撞的重要平台。
随着AI工具越来越擅长捕捉和修复常见的代码缺陷，开发者安全培训的重点，必须从“如何写出安全的代码”转向理解系统性软件风险，也就是威胁建模的基础原则。安全领域的领导者们已达成共识：传统的一次性、理论化的培训方法已经过时，我们需要的是碎片化、强实践，并且能深度集成到开发者日常工具链中的新型培训模式。
从输出审查转向结果评估
当AI辅助编码日趋成熟，工具本身将越来越多地承担起常见代码漏洞的检测工作。那些结合了静态分析和自动修复功能的AI编码助手，能够识别并修正传统安全培训关注的“逐行缺陷”，比如困扰安全团队几十年的SQL注入、跨站脚本和不安全的配置等问题。
这迫使CISO们必须重新思考开发者的赋能策略。埃克塞特金融公司的高级安全工程师Ankit Gupta指出：“AI生成的代码可能语法完全正确，但在上下文环境中却显得‘鲁莽’。开发者需要学会筛选那些‘看似合理但不可信’的AI输出。这使得安全开发的过程，更像是一个验证过程，而非纯粹的创造过程。”
卡耐基梅隆大学软件工程研究所的技术总监Hasan Yasar强调，重点应从逐行代码审查，转向评估某个功能在部署环境中的安全表现，特别是识别集成点、架构和逻辑层面的风险能力。“我们正从‘输出审查’转向‘结果评估’。关键是让开发者能够批判性地思考，系统在真实运行时会是什么样子。”
SecureFlag（一家开发者安全培训平台）的联合创始人Emilio Pinna也表示：“五年前的行业培训还在教授具体的编码模式，如今则应该聚焦于底层原则，使得开发者有能力评估来自任何渠道的代码。”开发者需要能够识别AI代码中那些不安全的预设、默认配置，或者可能放大系统漏洞的集成方案。同时，随着自动化的工程管道内置了更多安全机制，开发者还必须理解这些自动化关卡的作用边界。
威胁建模成为核心能力
Yasar指出，这种系统级思维，将提升开发者掌握威胁建模能力的必要性。传统威胁建模难以规模化实施，主要障碍在于构建有效模型所需的“情境知识”——团队往往缺乏对应用具体使用场景、架构设计和相关风险的系统认知。
那么，人工智能能在这一领域发挥作用吗？Yasar认为，通过整合组织特定的情境和架构模式，AI或许能简化这个传统上需要大量人工投入的过程。但无论如何，开发者自身仍需掌握基础能力：理解信任边界、识别关键资产、预判攻击者可能如何滥用某个功能。
Suzu Labs的创始人Michael Bell建议，应该培养一种“威胁建模直觉”：“重点不应再是‘这段代码能不能运行’，而是‘它可能被如何滥用’。既然我们把编码的认知负荷转移给了AI，那么节省下来的时间，就应该用来审查AI输出的代码。”
Bell认为，网络靶场这类沉浸式的实践训练，是培养这种直觉的有效途径。“当AI处理常规的编码工作时，人类的价值就转向了判断力。实践训练比讲座和视频，更能培养这种能力。”这类似于在安全/渗透/逆向的实战环境中进行训练，能有效提升对攻击手法的感知。
将培训融入安全护栏
实践培训的真正难点在于，如何适配高速运转的工程环境。SecureFlag的Pinna指出：“传统的、静态的一次性课程已经不管用了。实践证明有效的是两种方式：在真实的工程场景中进行持续实践训练，以及情境化的即时学习。”
现在，领先的安全编码实践，正在将平台工程与针对性的开发赋能相结合，把安全指引直接嵌入到开发者现有的工作流中。Pinna解释道：“安全团队正在创建可扩展的开发管道‘护栏’。这些护栏能将风险转化为具体的指引，确保自动化工具在强化培训效果。当护栏被触发时，开发者能同步理解背后的安全原则是什么。”
Gupta也描述了类似的愿景：“安全预期被内建到管道中，通过一个弹窗来说明为什么需要这个控制措施，以及如何以合规的方式去满足它。”这种即时微学习，甚至可以扩展成根据具体问题提供的、时长在5到15分钟的按需培训。而被触发的护栏数据，还能帮助应用安全团队开展更有针对性的深度教育。这种将安全能力“左移”并工程化的思路，正是现代运维 & 测试与安全团队协同努力的方向。
CISO的新培训议程
明智的CISO已经意识到，AI编码时代要求开发团队具备比以往更强的安全敏锐度。安全领导者需要与工程部门紧密合作，共同重塑安全培训的内容与交付机制。
除了上述基础，安全专家还指出，当AI辅助编码成为常态，CISO还需要应对一个新的培训变量：教导开发者如何安全地使用AI工具本身。Yasar提出了关键问题：“我们如何训练工程师以安全思维去使用AI工具？如何教会他们评估工具的输入和输出？这最终都取决于一个健全的治理体系。”
这意味着需要与CTO等利益相关方共同制定明确的政策，规定在什么情况下AI生成的代码需要人工审查、哪些数据可以喂给AI工具使用，以及代码进入生产环境前应遵循哪些AI使用规范。Gupta透露，已有组织开始将这些规则纳入开发者的赋能计划。
这也为实现那个长期难以落地的“安全设计”目标提供了新的契机。通过提示词工程的指导，安全团队可以在代码生成的最初阶段就嵌入安全要求。Yasar举例说明：“开发者可以要求工具‘构建一个符合HITRUST标准的Web登录界面’，并为其提供详细的指南。这为‘合规设计’创造了一个绝佳的切入点。”
（AI代码审计能力的飞速发展，如Claude新模型所展示的，既是机遇也是挑战，进一步凸显了人类工程师进行威胁建模和深度安全审查的重要性。）
本质上，开发者的安全培训不会消失，但CISO需要通过深度的跨部门协作，将安全判断力“编织”进工程文化里——把威胁建模、安全护栏和对AI工具的治理智慧，统统融入开发者的日常工具之中。只有这样，才能构建出比以往更具韧性的软件体系。
参考来源：
The new paradigm for raising up secure software engineers
https://www.csoonline.com/article/4129134/the-new-paradigm-for-raising-up-secure-software-engineers.html
发表于 3 天前
|
查看: 10|
回复: 0
