エンタープライズアプリケーションが抱える深刻(critical)・高(high)レベルの脆弱性は、AI主導のソフトウェア開発が加速する以前と比べて4.31倍に増加していることがわかりました。
Sonatypeはエンタープライズソフトウェア開発における過去4年間のデータを分析し、AI時代においてアプリケーション作成のペースがほぼ5倍に加速していることを明らかにしました。
同時に、未解決の脆弱性が放置される期間の中央値は59%減少しており、リスクの総量が増加する一方で、各組織が脆弱性への対応を以前よりも迅速に行っていることがうかがえます。
Sonatypeの最高製品開発責任者(Chief Product Development Officer)を務めるMitchell Johnson氏は、次のように述べています。「開発者は、AIのスピードで開発を進めることと、組織に取り込むソフトウェアの中身を理解することを、二者択一で迫られるべきではありません」
同社はレポートの中で、今回の調査結果はソフトウェア作成のペースが従来のセキュリティプロセスで対応しきれる速度をすでに超えていることを示しており、開発のより早い段階でリスクを特定し対処する必要性が高まっていると指摘しています。
AI脆弱性管理に関する関連記事: 米国、AI主導の脆弱性管理を統括する「Gold Eagle」を始動
AIがソフトウェア作成とリスクの両方を加速
レポートは、こうした状況の変化をソフトウェア開発におけるAI活用の拡大と結び付けています。Sonatypeによれば、開発チームは深刻・高レベルの脆弱性を以前より多く抱えながらも、はるかに速いペースでアプリケーションを生み出しているといいます。
一方で、未解決の脆弱性が放置される期間の中央値が減少しているという事実は、これとは逆の傾向を示しています。開発チームは脆弱性が未対応のまま残る期間を短縮できているものの、ソフトウェア作成のペースがそれ以上に速まっているため、リスクの増加に修復の改善が追いついていないのが実情です。
Sonatypeは、開発後のレビューに主に頼るのではなく、セキュリティに関する意思決定をソフトウェア組み立てプロセスのより早い段階に移す必要があると述べています。
Sonatypeの共同創業者兼CTOであるBrian Fox氏は、次のように語っています。「AIはソフトウェア開発の方程式そのものを変えつつあります。私たちはより多くのソフトウェアをより速く構築できるようになった一方で、従来のセキュリティプロセスが吸収できる速度を上回るペースでリスクも生み出してしまっています」
「その答えは、開発の最後の段階にレビュー工程をもう一つ追加することではありません。ソフトウェアが組み立てられるまさにその瞬間に、より良い判断を下せる仕組みが必要です。それは、判断を下すのが開発者であってもAIエージェントであっても変わりません」
翻訳元: https://www.infosecurity-magazine.com/news/enterprise-apps-critical-high/
