Обвязка важнее модели: AI-поиск уязвимостей в микросервисах

30 ноября, 12:20, «Конгресс холл»

Средняя сложность

Доклад принят в программу конференции

Мнение Программного комитета о докладе

SAST ловит шаблонные ошибки, но слепнет на логике между сервисами. Из-за этого опасный баг прожил в проде 5 лет, пока код не проверил AI-агент. Покажем архитектуру гибридного анализа в CI/CD: как подавать агенту контекст репозитория, гасить шум false positive и подтверждать находки.

Целевая аудитория

Платформенным командам и архитекторам в компаниях с десятками и сотнями сервисов: и тем, у кого работающий AppSec-стек и ощущение, что он всё равно не покрывает бизнес-логику; и тем, кто гоняет по всему парку любой тяжёлый автоматический анализ; и тем, кто строит AI-платформу для разработки и ищет, куда её приложить с измеримым эффектом.

Тезисы

AI-агенты за год прошли путь от эксперимента до строчек в багбаунти-лидербордах и CVE в ядре Linux. Компании хотят повторить это у себя, но почти все известные успешные кейсы — отдельные репозитории с чёткой границей. На крупную компанию с сотнями связанных сервисов такой опыт переносится плохо.

В Циане первая попытка дать агентам весь проект принесла лавину ложных срабатываний. Расскажем, что пришлось построить вокруг модели, чтобы она начала находить реальные уязвимости: каких принципов придерживались, какой контекст передавали — граф сервисов, модель угроз, сработки классических сканеров — и почему без этого модель работает не лучше SAST. Покажем на примерах, какие классы дефектов AI Security Scan находит там, где детерминированные инструменты молчат, и во сколько это обходится.

Спикеры

Михаил Юматов

ЦИАН

До 2017 10 лет занимался профессиональной разработкой на Python. Увлекается также функциональными языками программирования. С 2017 - начинающий руководитель группы разработчиков.