AI开发者时代CISO面临的新挑战：代码安全

图片来源：13_Phunkod

在DevOps高速迭代的压力下，首席信息安全官（CISO）本就在艰难地帮助开发者遵循安全编码原则。如今，随着AI辅助开发重塑代码编写与交付方式，这一挑战正急剧升级。

根据Gartner预测，两年前仅约14%的企业软件工程师定期使用AI编码助手，到2028年这一比例将飙升至90%。Faros AI等分析机构的研究揭示了大规模应用的实际影响：使用AI的开发者合并的拉取请求（PR）数量增加了98%。

对安全团队而言，这种速度带来了复合型问题：代码量更大、产出更快、审查时间更少。理论上，AI工具可以自动化代码审查中许多手动环节，但实践中尚未实现高保真度。即便AI驱动的代码审查效率提升，开发者培训仍不可或缺——只是培训方式必须变革。

随着AI工具更擅长捕捉和修复常见代码缺陷，开发者安全培训的重点应转向系统性软件风险的威胁建模基础原则。安全领导者们达成共识：传统培训方法需要摒弃，代之以碎片化、实践性强且深度集成到开发者工具链中的新型培训。

从输出审查转向结果评估

当AI辅助编码日趋成熟，工具本身将越来越多地承担常见代码漏洞的检测工作。结合静态分析和自动修复的AI编码助手，能够识别并修正传统安全培训关注的逐行缺陷，例如困扰安全团队数十年的SQL注入、跨站脚本和不安全配置等问题。

这促使CISO重新思考开发者赋能策略。埃克塞特金融公司高级安全工程师Ankit Gupta指出："AI生成的代码可能语法正确但上下文鲁莽，开发者需要筛选'看似合理但不可信'的AI输出。这使得安全开发更像验证过程而非创造过程。"

卡耐基梅隆大学软件工程研究所技术总监Hasan Yasar强调，重点应从逐行代码审查转向评估功能在部署环境中的安全表现，特别是集成点、架构和逻辑中的风险识别能力。"我们正从输出审查转向结果评估，关键是让开发者批判性思考系统在真实运行时的表现。"

开发者安全培训平台SecureFlag联合创始人Emilio Pinna表示："五年前的行业培训教授具体模式，如今则应聚焦底层原则，使开发者能评估任何来源的代码。"开发者需要识别AI代码中不安全的预设、默认配置或可能放大系统漏洞的集成方案。随着自动化工程管道内置更多安全机制，开发者还应理解自动化关卡的作用边界。

威胁建模成为核心能力

Yasar指出，系统级思维将提升开发者威胁建模能力的必要性。传统威胁建模难以规模化实施的主要障碍，在于构建有效模型所需的情境知识——团队往往缺乏对应用使用场景、架构设计和相关风险的系统认知。

AI可能在此领域发挥作用。Yasar认为，通过整合组织情境和架构模式，AI能简化原本需要大量人工的威胁建模过程。但开发者仍需掌握基础能力：理解信任边界、识别关键资产、预判攻击者可能如何滥用功能。Suzu Labs创始人Michael Bell建议培养"威胁建模直觉"："重点不应是'代码能否运行'，而是'可能如何被滥用'。我们将编码的认知负荷转移给AI，就该利用省下的时间审查输出代码。"

Bell认为，网络靶场等沉浸式实践训练能有效培养威胁建模直觉："当AI处理常规编码工作时，人类价值转向判断力。实践训练比讲座视频更能培养这种能力。"

将培训融入安全护栏

实践培训的真正难点在于适配高速工程环境。SecureFlag的Pinna指出："传统的静态一次性课程已不适用，实践证明有效的是在真实工程场景中的持续实践训练，以及情境化的即时学习。"

领先的安全编码实践正将平台工程与针对性开发赋能相结合，把安全指引直接嵌入开发者现有工作流。Pinna解释："安全团队正在创建可扩展的开发管道护栏，这些护栏将风险转化为指引，确保自动化工具强化培训效果。触发护栏时，开发者能同步理解安全原则。"

Gupta描述了类似愿景："安全预期被内建到管道中，通过弹窗说明控制措施的存在理由和合规方法。"这种即时微学习甚至可扩展为根据具体问题提供的5-15分钟按需培训。被触发的护栏数据还能帮助应用安全（AppSec）团队开展针对性深度教育。

CISO的新培训议程

明智的CISO已然意识到，AI编码时代要求开发团队具备更强的安全敏锐度。安全领导者需与工程部门紧密合作，重塑安全培训的内容与交付机制。

除上述基础外，安全专家指出，当AI辅助编码成为常态，CISO还需应对新的培训变量：教导开发者安全使用AI工具本身。Yasar提出关键问题："如何训练工程师以安全思维使用AI工具？如何教会他们评估工具的输入输出？这最终取决于治理体系。"

这意味着需要与CTO等利益相关方共同制定明确政策，规定何时需要人工审查AI代码、哪些数据可用于AI工具，以及代码进入生产环境前的AI使用规范。Gupta透露，已有组织将这些规则纳入开发者赋能计划。

这也为实现长期难以落地的"安全设计"目标提供了契机。通过提示词工程（prompt engineering）指导，安全团队可以在代码生成阶段嵌入安全要求。Yasar举例说明："开发者可以要求工具构建符合HITRUST标准的Web登录界面，并详细提供指南。这为'合规设计'创造了绝佳切入点。"

本质上，开发者培训不会消失，但CISO需要通过深度协作，将安全判断力融入工程文化——将威胁建模、安全护栏和AI治理智慧编织进开发者日常工具中，方能构建出比以往更具韧性的软件体系。

参考来源：

The new paradigm for raising up secure software engineers