Gnóthachain:
- Cumas aschur AI a fhíorú ag trí shraith: cruinneas, slándáil agus foinse/ceadúnas
- Cumas rioscaí cosúil le hinstealladh, pacáistí siabhránachta agus rúin faoi thalamh a chlúdach le múnlaí agus le huirlisí sábháilte
- Cumas an cód criticiúil slándála a chur i láthair le ceadú innealtóra inniúil agus neamh-inaistritheacht na freagrachta a thuiscint
Tá sé éasca cód AI a ghiniúint; Is costasach muinín a chur air. Is é an t-aon chuspóir atá leis an aonad seo ná an prionsabal "fíorú", a rinneamar arís agus arís eile i ngach aonad roimhe seo, a thiontú ina dhisciplín innealtóireachta córasach. Toisc go bhfuil trí chontúirt ar leith ag baint leis an gcód a tháirgeann AI, fiú má dhealraíonn sé go bhfuil sé ceart ar an gcéad amharc: a bheith neamhoibríoch/mícheart (siabhálacha), a bheith neamhchinnte (leochaileacht) agus rioscaí dlíthiúla/ceadúnaithe a iompar. Má bhíonn aithne agat ar na trí cinn seo agus má bhunaítear doras do gach ceann acu, is duine gairmiúil tú.
Breathnaímid anseo ar “bhailíochtú” ag trí shraith: cirte (an ndéanann an cód an obair i ndáiríre?), slándáil (an seasann sé le hionchur mailíseach?), agus foinse/ceadúnas (an bhfuil an ceart agam an cód seo a úsáid?). Tá a modhanna rialaithe féin ag gach ciseal, agus ní féidir aon cheann acu a sheachbhóthar le "sin a dúirt an AI."
Trí Chiseal Riosca
1. Riosca cruinnis (hallucination). Féadfaidh an tsamhail feidhm nach bhfuil ann a ghlaoch, mí-úsáid a bhaint as API, cás imeall a sheachbhóthar go ciúin. Breathnaíonn an cód "réasúnta" ach tá sé mícheart. Antidote: tiomsú, tástáil, anailís statach agus iniúchadh amhairc.
2. Riosca slándála. Is féidir le AI patrúin neamhchinnte a dhéanamh arís i sonraí oiliúna: fiosrúchán atá leochaileach d’instealladh SQL, ionchur úsáideora neamhfhíordheimhnithe, criptiú lag, díshraithiú neamhchinnteach, atreorú oscailte. Oibríonn an cód ach tá sé i mbaol ionsaí. Antidote: athbhreithniú atá dírithe ar shlándáil, scanóirí uathoibrithe (SAST), agus patrúin aitheanta slána a fhorchur.
3. Riosca foinse/ceadúnais. Féadfaidh AI aschur a tháirgeadh atá cosúil go dlúth le cód ceadúnaithe faoi chóipcheart nó sriantach, nó féadfaidh sé spleáchas atá ceadúnaithe go míchuí a mholadh. Antidote: seiceáil spleáchais agus ceadúnais, seiceáil úrnuachta, beartas corparáideach.
Rabhadh: Is é an tslándáil an rud is insidious de na trí riosca; toisc gur féidir leis an gcód tástáil a rith, a reáchtáil go réidh i dtáirgeadh, agus ní nochtar an leochaileacht ach amháin nuair a aimsíonn ionsaitheoir é. Ní hionann “obair” agus “slán.”
Céim ar Chéim: Geata Fíordheimhnithe Sraitheach
- Léigh le tuiscint. An cód a thuiscint i ndáiríre sula nglacfar leis; Ná cumasc cód nach dtuigeann tú. Murar féidir leat a mhíniú "cén fáth a n-oibríonn sé", níl sé bailíochtaithe fós.
- Fíoraigh go bhfuil sé ann. Deimhnigh go bhfuil gach feidhm, API agus pacáiste a úsáidtear ann agus go n-úsáidtear i gceart (geata siabhránachta).
- Rith uirlisí uathoibrithe. Tiomsaitheoir, lintéir (scanóir stíle/earráide), seiceálaí cineál, tástálacha aonaid, agus más féidir SAST (Tástáil Slándála Feidhme Statach - uirlis a scanadh an cód foinse le haghaidh leochaileachtaí).
- Féach air ó thaobh na slándála de. An bhfuil an t-ionchur bailíochtaithe? An bhfuil an cheist paraiméadar? An bhfuil an rún curtha? An bhfuil rialú údaraithe ann?
- Seiceáil foinse agus ceadúnas. An bhfuil spleáchais nua ceadúnaithe? An bhfuil cuma róchosúil ar an aschur le bunachar cód aithnid?
- Má tá sé ríthábhachtach don tslándáil, iarr cead ó shaineolaí. Tá athbhreithniú neamhspleách ó innealtóir atá inniúil i réimsí mar fhíordheimhniú, íocaíocht, cripteagrafaíocht, rialú rochtana éigeantach.
Trí Chás Mini
Cás 1 — Instealladh SQL gafa ag geata an iniúchta. An cód a ghin an AI a chomhdhlúthaíonn ionchur úsáideora go díreach isteach sa cheist SQL le haghaidh críochphointe cuardaigh ("... WHERE name = '" + q + "'"). Bhí an cód ag obair agus d'éirigh leis an tástáil. Fuair cigireacht atá dírithe ar shlándáil agus scanadh SAST é seo; Tiontaíodh é ina cheist pharaiméadair (ráiteas ullmhaithe). Murar gabhadh é, bheadh sé ina leochaileacht sceite sonraí clasaiceach.
Cás 2 — Pacáiste siabhránachta. Mhol AI pacáiste npm nach bhfuil ann (parse mear-sábháilte) le haghaidh taisc. Nuair a rinne an forbróir iarracht é a shuiteáil, níor aimsíodh an pacáiste. Níos measa: i gcásanna áirithe, is féidir le hionsaitheoirí ainmneacha pacáiste "taibhse" den sórt sin a líonadh le pacáistí fíor, mailíseach (mearbhall spleáchais). Ceacht: fíoraigh gach pacáiste molta i gcoinne na clárlainne oifigiúil agus stair íoslódála/cothabhála.
Cás 3 — Neamh-chomhoiriúnacht ceadúnais. Bhí ceadúnas láidir copyleft ag leabharlann chompánach nifty a mhol AI nach raibh ag luí le ceadúnas táirge na hinstitiúide. Thuairiscigh scanadh ceadúnais spleáchais é seo; Chuir an fhoireann rogha eile oiriúnach in ionad an cheadúnais. Gan fíorú, thiocfadh ualach dlíthiúil chun cinn maidir le dáileadh táirgí.
Ceithre Theimpléad Inchóipeála
Féinseiceáil réamhiontrála:
Sula nglacfaidh tú leis an gcód AI ginte seo a leanas, seiceáil: 1) An bhfuil gach feidhm / API / pacáiste a úsáideann sé ann i ndáiríre? Cuir bratach ar na daoine a bhfuil amhras fúthu.2) An bhfuil aon ionchur neamhbhailíochtaithe, comhchuibhiú SQL/orduithe, rún faoi thalamh, criptéir lag?3) Cad iad na fabhtanna/cásanna ciumhais nár seoladh? Lipéadaigh gach toradh mar "áirithe / dócha" agus mol réitigh.{{code}}
Léirmheas dírithe ar shlándáil:
Scrúdaigh an cód seo le súil shlándála. Cuardaigh leochaileachtaí coitianta i stíl OWASP: instealladh, fíordheimhniú/údarú briste, nochtadh sonraí íogaire, díshraithiú neamhchinnte, atreorú neamhdheimhnithe. I gcás gach toraidh: riosca, cás saothraithe, feabhsúchán. Is réamhscagadh é seo; cuir torthaí criticiúla ar aghaidh chuig athbhreithniú ar shlándáil dhaonna.{{code}}
Seiceáil spleáchais agus ceadúnais:
Liostaigh na spleáchais a chuirtear leis/a mholann an cód seo. I gcás gach ceann díobh: an bhfuil an pacáiste ann i ndáiríre, an bhfuil sé á chothabháil, cad é an gnáthcheadúnas a bheadh aige (CAITHFEAR A FÍORÚ), agus an bhfuil gá leis don tionscadal i ndáiríre nó an féidir é a dhéanamh le huirlis atá ann cheana?{{cód nó liosta spleáchais}}
Forchur formwork sábháilte (i dtáirgeadh):
Scríobh cód le haghaidh {{tasc}}. Rialacha slándála Éigeantach: - Bailíochtaigh / sláintíocht a dhéanamh ar gach ionchur seachtrach.- Ná húsáid ach fiosrúchán paraiméadaraithe i rochtain ar bhunachar sonraí.- Ná cuir rúin sa chód; glac leis an athróg timpeallachta/bainisteoir rúnda - Ná swallow earráidí; Smaoinigh air go ciallmhar. Mínigh conas a chloíonn an cód leis na rialacha seo i 3 mhír.
Leid lag / Pras láidir
Lag: "Scríobh ceist a chuardaíonn de réir ainm úsáideora." (D’fhéadfadh cód atá i mbaol instealladh tarlú.)
Strong: "Scríobh feidhm a chuardaíonn de réir ainm úsáideora. Ná cuir ionchur úsáideora isteach i gceist mar theaghrán riamh; bain úsáid as fiosrúchán paraiméadaraithe (ráiteas ullmhaithe). Bailíochtaigh an t-ionchur maidir le fad agus carachtar. Mínigh i 2 abairt cén fáth a bhfuil an cód dúnta don instealladh."
Cuireann an leagan láidir an patrún slán ón tús; Mar sin, cinntíonn sé nach dtarlaíonn an leochaileacht ar chor ar bith, seachas é a ghabháil níos déanaí. Mar sin féin, tá sé riachtanach an cód ginte a chur ar aghaidh trí gheataí fíoraithe.
Ciseal fíordheimhnithe
Uirlis/modh
An leor "Dúirt AI"?
cruinneas
Tiomsú, tástáil, iniúchadh amhairc
níl
Réaltacht API/pacáiste
Rialú doiciméad/taifid oifigiúil
níl
Slándáil
SAST, athbhreithniú slándála
níl
Ceadúnas/foinse
Spleáchas & seiceáil ceadúnais
níl
Loighic slándála-chriticiúil
Faomhadh innealtóir saineolaí
Cinnte nach bhfuil
Ní Féidir Freagracht a Aistriú
Is ar an bhfoireann a chruinníonn agus a dháileann an cód sin atá an fhreagracht as earráidí, leochaileachtaí nó sáruithe a eascraíonn as an gcód a tháirgtear le huirlis AI, ní le soláthraí na huirlisí. Is fíoras gairmiúil é seo chomh maith le fíoras dlíthiúil: síníonn tú. Mar sin ní leithscéal é "Tháirg AI", ach fírinniú le rabhadh breise. Go háirithe i gcórais atá ríthábhachtach don tsábháilteacht, níl aschur AI ionadach ar athbhreithniú agus formheas ag innealtóir cáilithe in imthosca ar bith; Ar a mhéad, soláthraíonn AI treoirphlean a luasaíonn an t-innealtóir sin.
Leid: Cruthaigh seicliosta gairid ar d’fhoireann ar a dtugann tú “geata bailíochtaithe do chód arna ghiniúint ag AI” (tóg + tástáil + scanadh slándála + iniúchadh amhairc). Chomh luath agus a bhíonn an geata seo ina nós, is beag an caillteanas luais agus is é an laghdú riosca uasta.
Botúin choitianta
- Mearbhall "oibreacha" le "sábháilte". D’fhéadfadh cód a éiríonn leis an tástáil a bheith i mbaol ionsaí.
- Ag baint úsáide as an bpacáiste / API gan é a fhíorú. Tá paicéid siabhránacha truaillithe agus bíonn riosca slándála ag baint leo.
- Uirlisí uathoibrithe a sheachaint. Is saor go nglacann lintéar, seiceálaí cineál agus SAST an rud a chailleann daoine.
- Neamhaird a thabhairt ar an gceadúnas. Cruthaíonn spleáchas ceadúnaithe míchuí ualach dlíthiúil ar dháileadh.
- An fhreagracht a chur ar an bhfeithicil. Tá an fhoireann freagrach as an gcód i dtáirgeadh; Ní haon leithscéal é “AI did it”.
Go hachomair
Teastaíonn trí shraith fíoraithe chun aschur AI a ghlacadh: cruinneas (tiomsú, tástáil, iniúchadh amhairc), slándáil (SAST agus athbhreithniú dírithe ar shlándáil), agus foinse/ceadúnas (seiceáil spleáchais). Deimhnigh go bhfuil gach pacáiste agus API a úsáidtear ann i ndáiríre, forfheidhmigh patrúin shlána ón tús, agus cuir isteach cód atá ríthábhachtach ó thaobh slándála de le faomhadh ag innealtóir cáilithe. Ní chiallaíonn “oibreacha” sábháilte, agus ní bhaineann “AI a tháirgtear” dliteanas as. Is é an geata fíoraithe praghas na gairmiúlachta, ní luas.
Tasc feidhmchláir
Tabhair tasc slándála-íogair do AI (m.sh. “feidhm a chuardaíonn an bunachar sonraí le hionchur úsáideora”), an uair seo gan patrún sábháilte a fhorchur. Cuir an cód isteach trí theimpléid “féin-iniúchta réamhiontrála” agus “athbhreithniú dírithe ar shlándáil”: an bhfuil aon instealladh, rún faoi thalamh, paicéad bréagchéadfaíochta, nó ionchur neamhdheimhnithe ann? Ansin cuir an tasc céanna arís leis an teimpléad “forchur patrún slán” agus déan comparáid idir an dá aschur. Más féidir, rith uirlis lintéar/SAST agus cuir na torthaí i gcomparáid le féinrialú an AI.
seicliosta
- [ ] Deimhním aschur AI ag trí shraith: cruinneas, slándáil agus ceadúnas.
- [ ] Deimhním go bhfuil gach feidhm, API agus pacáiste a úsáidtear ann i ndáiríre.
- [ ] Ritheann mé uirlisí tiomsaithe, tástála, línéadaigh agus, más féidir, uirlisí SAST.
- [ ] Forchuirim patrúin slána (fios paraiméadar, bailíochtú ionchuir, bainistíocht rúnda) ón tús.
- [ ] Déanaim seiceáil ar cheadúnú agus ar riachtanas spleáchais nua.
- [ ] Tá cód ríthábhachtach slándála á chur isteach agam lena fhormheas ag innealtóir inniúil agus tuigim go bhfuil mé freagrach.