Истражување на влијанието на помошниците со вештачка интелигенција како GitHub Copilot врз безбедноста на кодот

Тим истражувачи од Универзитетот Стенфорд го проучувале влијанието на користењето интелигентни асистенти за кодирање врз појавата на пропусти во кодот. Се разгледуваа решенија базирани на платформата за машинско учење OpenAI Codex, како што е GitHub Copilot, кои овозможуваат генерирање на прилично сложени кодни блокови, до готови функции. Загриженоста е што бидејќи вистинскиот код од јавните складишта на GitHub, вклучително и оние што содржат пропусти, се користи за обука на моделот за машинско учење, синтетизираниот код може да повторува грешки и да предложи код што содржи пропусти, а исто така не ја зема предвид потребата за извршување дополнителни проверки при обработка на надворешни податоци.

Во студијата беа вклучени 47 волонтери со различно искуство во програмирање - од студенти до професионалци со десетгодишно искуство. Учесниците беа поделени во две групи - експериментални (33 лица) и контролни (14 лица). И двете групи имаа пристап до сите библиотеки и интернет ресурси, вклучувајќи ја и можноста за користење готови примери од Stack Overflow. Експерименталната група доби можност да користи асистент со вештачка интелигенција.

На секој учесник му беа дадени 5 задачи поврзани со пишување код во кои е потенцијално лесно да се прават грешки кои водат до ранливости. На пример, имаше задачи за пишување функции за шифрирање и дешифрирање, користење на дигитални потписи, обработка на податоци вклучени во формирањето на патеки на датотеки или SQL прашања, манипулирање со големи броеви во C-кодот, обработка на влезот прикажан на веб-страниците. За да се разгледа влијанието на програмските јазици врз безбедноста на кодот произведен при користење на асистенти со вештачка интелигенција, задачите ги опфаќаа Python, C и JavaScript.

Како резултат на тоа, беше откриено дека учесниците кои користеле интелигентен асистент за вештачка интелигенција заснован на моделот codex-davinci-002 подготвиле значително помалку безбеден код од учесниците кои не користеле асистент со вештачка интелигенција. Севкупно, само 67% од учесниците во групата што користела помошник за вештачка интелигенција можеле да дадат точен и безбеден код, додека во другата група оваа бројка била 79%.

Во исто време, показателите за самопочит беа спротивни - учесниците кои го користеа помошникот за вештачка интелигенција веруваа дека нивниот код ќе биде посигурен од оној на учесниците од другата група. Дополнително, беше забележано дека учесниците кои помалку му веруваа на помошникот со вештачка интелигенција и поминаа повеќе време анализирајќи ги дадените упатства и правејќи промени на нив, направија помалку пропусти во кодот.

На пример, кодот копиран од криптографските библиотеки содржеше побезбедни вредности на стандардните параметри од кодот предложен од помошникот на вештачката интелигенција. Исто така, при користење на помошникот за вештачка интелигенција, беше забележан изборот на помалку сигурни алгоритми за шифрирање и недостатокот на проверки за автентикација на вратените вредности. Во задачата што вклучува манипулација со броеви во C, беа направени повеќе грешки во кодот напишан со помош на AI, што доведе до прелевање на цели броеви.

Дополнително, можеме да забележиме слична студија на група од Универзитетот во Њујорк, спроведена во ноември, во која беа вклучени 58 студенти од кои беше побарано да спроведат структура за обработка на список за купување на јазик C. Резултатите покажаа мало влијание на помошникот за вештачка интелигенција врз безбедноста на кодот - корисниците кои го користеа помошникот за вештачка интелигенција направија, во просек, околу 10% повеќе грешки поврзани со безбедноста.

Извор: opennet.ru