Стенфордські дослідники стверджують, що ШІ, що генерує код, здатний створювати вразливості безпеки
Дослідники перевірили діяльність систем генерації коду за допомогою професійних програмістів та початківців, підтвердивши, що ШІ створює вразливості, які можуть бути непоміченими
Стало відомо, що програмісти, які користуються послугами штучного інтелекту (ШІ) в області генерації програмного коду, ризикують системами безпеки, повідомив Tech Crunch 28 грудня 2022 року, посилаючись на групу дослідників зі Стенфорда.
Провідний співавтор дослідження підкреслив, що ШІ, що розробляють код, покликані полегшувати працю інженерів-програмістів, але не замінюють їх. Однак деякі розробники продемонстрували стурбованість тим, що ШІ часто використовуються там, де програміст не володіє достатніми знаннями і досвідом. І навіть результати виконаних робіт системами генерації коду повинні згодом детально перевіряти програмістом.
У розглянутому дослідженні групи вчених зі Стенфордського університету увага була прикута до системи генерації коду під назвою Codex. Дослідники найняли 47 розробників, від студентів до професіоналів, щоб «співпрацювати " з системою та відстежувати вразливості безпеки на різних мовах програмування. Відомо, що Codex навчався на мільярдах рядків загальнодоступного коду, щоб потім запропонувати функції, які б враховували контекст існуючого коду.
Спостереження за діяльністю випробовуваних привели до висновку про те, що контрольна група без доступу до Codex, написала більш надійні коди, коли як використання системи продемонструвало наявність вразливостей щодо кібербезпеки. Притому останні були впевнені, що з кодом все в порядку.
Співавтори дослідження пояснили, що спостережувані результати не засуджують діяльність Codex та інших систем генерації. Однак саме випробовувані володіли недостатніми знаннями в області безпеки, щоб грамотно виявити помилки коду. Системи генерації коду приносять велику користь для завдань, не пов'язаних з високим ризиком безпеки, наприклад пошуковий дослідницький код.
Дослідники діляться думкою про те, що, ненавмисне допущення вразливостей системами генерації коду – не єдиний недолік. Розглянутий генератор Codex підтримує Copilot, який характеризується обмежувальною Ліцензією. Саме Copilot рекомендується різною літературою, на кшталт " майстерність JavaScript ». Однак експерти в галузі права звертають увагу на те, що Copilot піддає компанії і розробників ризику, якщо вони випадково використовують пропозиції, захищені авторським правом, в авторських кодах до програмного забезпечення.
Дослідники рекомендують бути обережними при використанні інструментів, пов'язаних з Copilot, а новачків краще навчати на основі ліцензованих методів кодування.
