释放 AI 工程在DevSecOps中的力量

DevSecOps 涉及将安全实践集成到 DevOps 工作流中。 AI 可用于异常检测，来识别潜在的安全威胁并自动执行安全策略。人工智能在增强软件开发流程中不同阶段的安全性上具有很大的优势。

规划： 规划阶段涉及处理与风险分析和威胁建模相关的复杂性。AI 可以帮助根据过去项目的数据和已知的安全问题自动进行风险分析和威胁建模。有助于在规划阶段的早期识别潜在的安全威胁，并制定适当的缓解策略。

设计和开发(集成前)：开发人员在编写安全代码、识别潜在安全漏洞以及在编码时遵守安全实践方面经常面临困难。基于人工智能的静态应用程序安全测试(SAST)工具可以自动扫描源代码以查找已知漏洞和编码缺陷，从而为开发人员提供即时反馈。此外，AI可用于生成有关安全编码实践和策略的建议，来解决已识别的漏洞。

持续集成(CI)：持续集成新代码可能会引入难以及时捕获和修复的新安全漏洞和缺陷。在集成阶段，AI可用于动态和交互式应用程序安全测试工具(DAST和IAST)。通过智能自动化测试、分析数据流和集成环境中的代码行为来识别复杂的安全问题。

持续交付(CD)：在交付之前确保代码安全性和有效性是一项重大挑战。基于AI的工具可以帮助管理安全配置、监控更改，并在交付阶段对安全策略的偏差发出警报。人工智能还可以用于在预生产环境中自动进行安全测试，以确保在交付前满足安全标准。

持续部署(到生产环境)：AI 可以通过对应用程序和网络硬件生成的安全警报进行智能实时分析来增强安全信息和事件管理 (SIEM) 工具，在生产环境中实时监控、检测和响应安全威胁。基于 AI 的运行时应用程序自我保护 (RASP) 工具还可以实时检测和阻止攻击，为生产中的应用程序提供强大的保护。

AI工程化DevSecOps流程

评估和规划：首先评估组织当前的 DevSecOps 成熟度。评估现有工具和实践的效率和有效性。确定缺乏自动化或存在安全问题的领域。使 AI 设计的 DevSecOps 计划与业务目标保持一致。

选择AI工程工具：根据评估选择适合组织需求的AI工程工具。此选择应该涵盖整个软件开发生命周期：计划、设计和开发、持续集成、持续交付和持续部署。理想情况下，这些工具应该是可扩展的，易于与现有的系统集成，并能为团队提供实时的、可操作的见解。

培训和提升技能：培训团队使用基于AI的DevSecOps工具。通过对团队进行培训，提高团队的技能，使他们能够在新AI化的DevSecOps环境中有效地工作。这可能涉及人工智能和机器学习、安全最佳实践和新的DevSecOps方法方面的培训。

逐步实施和整合：从一个项目开始实施，逐步调整方法。逐步实施选定的 AI 工程工具并将其集成到现有的 DevSecOps 管道中。

审查和优化和改进：根据初期确定的目标，定期审查 基于AI工程的 DevSecOps 实施的有效性，并不断进行完善。这可能涉及调整安全策略、完善使用 AI 工具的方式或为团队提供进一步的培训。

在实施基于AI 的 DevSecOps时有几点需要注意。首先，基于AI的规划情况要和业务目标保持一致，明确业务目标并设计基于AI的DevSecOps进行技术支持;其次，及时进行技能培训和改进，定期评估 AI 工具的有效性，并准备好根据新技术进步、反馈和业务需求的变化调整流程。一方面可以确保技术的更新，同时也有利于更好的发挥技术优势;另外，不要过度依赖人工智能，需要认识到的一点是，人工智能是一种旨在帮助人类决策的工具，但不能完全取代人工;最后，需要关注数据隐私和道德问题，团队需要制定明确的数据管理政策，确保遵守相关的数据隐私法律和法规。将道德作为优先考虑事项，确保人工智能系统的透明度和公平性。

虽然人工智能可以显着提高安全性和效率，但重要的是要避免规划不足、忽视培训、抵制变革、过度依赖人工智能、忽视数据隐私和道德问题以及缺乏持续改进等。通过专注于这些领域，使 DevSecOps计划与业务目标保持一致，进行团队技能提升、有效管理变更、维持人工监督、遵守数据隐私法规并培养持续学习的文化，组织可以成功实施并最大限度地发挥基于AI的 DevSecOps 的优势。

来源：

https://devops.com/unleashing-the-power-of-ai-engineered-devsecops/