Positive Technologies добавила ИИ-помощника PT Naira в PT Application Inspector, платформу анализа защищенности исходного кода программ и их компонентов. За время внутреннего тестирования компания разобрала с его помощью больше 3 тыс. предупреждений: ИИ верно распознал 94% реальных уязвимостей и отсеял 30% ложных срабатываний. С оценкой AppSec-эксперта его аргументация совпадала в 75% случаев. Об этом CNews сообщили представители Positive Technologies.

Первичную обработку и классификацию уязвимостей в коде называют триаж. Разбор ложных срабатываний после триажа съедает основное время в безопасной разработке. На одного AppSec-инженера во многих компаниях приходится около 500 разработчиков, за неделю накапливаются тысячи потенциальных уязвимостей, и на их разбор уходит до 90% рабочего времени. При этом инженеру нужно одинаково уверенно читать код на JavaScript, Python, Java и других языках и постоянно переключаться между проектами, ни в один, из которых он не успевает погрузиться.

«Мы не хотим и не предлагаем заменить AppSec-инженера. Наша задача — дать ему удобный ИИ-инструмент, который повысит эффективность и скорость его работы. Комментарии ИИ-триажа помогают быстрее разобраться самому, отсечь лишнее и донести до разработки только то, что действительно важно», — сказал руководитель ML-команды Application Security в Positive Technologies Максим Митрофанов.

В ИИ-ответах в Application Inspector реализованы три ключевых сценария: вердикт по уязвимости, первичный разбор и подготовка аргументов для обсуждения с разработчиками. Пользователь может воспользоваться фильтрами по классам вердиктов, предложенного ИИ-ассистентом.

Оценивать ИИ-триаж по общей точности некорректно, поскольку пропустить реальную уязвимость намного дороже, чем не отсеять ложную. Поэтому качество работы ИИ-ассистента PT Application Inspector измеряли отдельно по двум направлениям. Первая метрика показывает, как часто ИИ-триаж корректно распознает реальные проблемы безопасности. Вторая показывает, какую долю ложных срабатываний можно отсеять и насколько сократить нагрузку на AppSec-инженера. Отдельно тестировали воспроизводимость: каждую задачу повторяли пять раз и засчитывали результат, только если ответ был верным во всех запусках.

До 1 марта 2027 г. базовый ИИ-триаж доступен бесплатно для всех пользователей PT Application Inspector даже с минимальной лицензией. Расширенную функциональность с автоматическим ИИ-триажом во время сканированиия, без лишних нажатий, можно получить, заполнив форму или обратившись к партнеру по продукту.

Модель развернута и работает в защищенном облаке PT, данные не передаются третьим лицам. Компаниям и разработчикам не нужно закупать дорогие графические ускорители, чтобы получить доступ к ИИ-анализу кода.

• Подобрать защищенное облако IaaS ФЗ-152 на ИТ-маркетплейсе CNewsMarket