La perspectiva de un experto en seguridad sobre las conclusiones de Gartner acerca de la IA generativa - Parte 2

¡Te damos la bienvenida a la segunda parte de nuestro especial de dos entregas sobre el informe de Gartner «4 formas en que la IA generativa impactará a los CISO y sus equipos»! Si te perdiste la primera parte sobre la composición de los modelos, puedes leerla aquí. Hoy exploraremos por qué es importante la especialización en seguridad en una herramienta de seguridad de IA, en especial en lo relacionado con la calidad de la IA.

¿Por qué se necesita la especialización de expertos?

Especialización para abordar la complejidad

La seguridad es un área muy compleja, y la calidad del código es otra cosa. La recomendación del informe de que las empresas deberían «elegir modelos ajustados o especializados que se adapten al caso de uso de seguridad pertinente, o a equipos más avanzados» es exactamente lo que hemos estado haciendo y promoviendo. Gartner también señala que «la IA generativa para ciberseguridad aplicada a contenido en tiempo real (por ejemplo, datos en tránsito y tráfico de red) podría tardar más en llegar, ya que probablemente requiera modelos especializados (y quizás más pequeños) entrenados con esos datos». No podríamos estar más de acuerdo: nuestro modelo de IA personalizado se entrena con datos específicos. De hecho, ya ofrecíamos esta IA generativa para ciberseguridad aplicada a código en tiempo real antes del informe: el 7 de junio de 2023 anunciamos Snyk Agent Fix, nuestra función de corrección automática en tiempo real, con un clic y dentro del IDE, incluida en nuestra herramienta SAST Snyk Code. 

Nuestro modelo de IA no solo está personalizado para la seguridad, sino que también es propietario, lo que permite que Snyk mantenga su independencia de las marcas de asistentes de programación con IA. ¿Qué significa esto? Las herramientas o funciones de seguridad que generan correcciones, creadas por las mismas marcas que desarrollaron asistentes de programación con IA, dependen de los mismos LLM que impulsan esos asistentes. Estos LLM se entrenaron para que el código funcione, no para protegerlo. Nuestro LLM se creó y entrenó específicamente para proteger el código. Por eso, nuestras correcciones son más confiables que las que genera un LLM de propósito más general. 

La experiencia en seguridad: un diferenciador clave

Aunque las observaciones del informe sobre los asistentes de código seguro orientados a casos de uso de equipos de desarrollo o de seguridad son, en gran medida, ciertas, Snyk es la excepción. Creemos que la especialización es el factor más importante que distingue a una herramienta de seguridad de las demás. Gracias a esta cualidad, podemos satisfacer las necesidades tanto de desarrolladores como de profesionales de seguridad. Nuestra experiencia demuestra que nuestro profundo conocimiento de la seguridad de las aplicaciones nos permitió crear una herramienta que funciona para equipos de seguridad y de desarrollo, y que responde a la necesidad de precisión inteligente y velocidad.

Impulsar la precisión en un área compleja

La seguridad de la IA es un área muy especializada y no es fácil detectar problemas de seguridad, pero la precisión es importante. Los métodos que se usan para desarrollar un modelo de IA contribuyen en gran medida a la solidez de una herramienta de seguridad. Nuestra tecnología y nuestros procesos surgieron de todo el conocimiento que hemos acumulado, y ese conocimiento es, en última instancia, la razón por la que ofrecemos resultados más precisos y optimizados. 

Mejorar la experiencia de los desarrolladores al priorizar las correcciones

Cuando expertos en seguridad ajustan constantemente los datos de entrenamiento, los procesos y los resultados, se obtiene una herramienta con IA enfocada con precisión en la seguridad estratégica. Esto significa encontrar y corregir problemas relacionados con el código seguro de mayor impacto. En lugar de abrumar a los equipos con una lista cada vez mayor de vulnerabilidades, las herramientas de seguridad de código deberían permitirte crear reglas personalizadas para adaptar los resultados que quieres ver de acuerdo con tus propias políticas. También deberían presentar informes centralizados sobre los problemas de seguridad de todos los equipos, para que puedan enfocarse en corregir los problemas de mayor impacto y los más específicos de la empresa.

Mejorar la experiencia de los equipos de seguridad con visibilidad y protección integrales de las aplicaciones

En el informe, Gartner anticipa que, si la IA generativa se vuelve cada vez más eficaz para descubrir nuevas vulnerabilidades en el código, «los ataques de día cero (es decir, los ataques que aprovechan vulnerabilidades no divulgadas) serán más comunes» y que «esto acelerará el desarrollo de más ataques a la cadena de suministro contra aplicaciones ampliamente implementadas y con privilegios. Es probable que esta área requiera una respuesta reactiva rápida. Por lo tanto, las organizaciones de usuarios finales deberían [...] evaluar herramientas y servicios para monitorear sus dependencias de software». 

No se trata de si la IA generativa acelerará los ataques de día cero, sino de cuándo lo hará. Por eso, una herramienta de seguridad que proteja a las organizaciones durante todo el ciclo de vida del desarrollo de software, con integraciones nativas y una visión integral y coherente de tu programa de seguridad, les dará una ventaja competitiva a las empresas.

Snyk captura y neutraliza los riesgos de forma proactiva en el IDE, antes de que se propaguen por tu pipeline, y también sigue protegiendo a las empresas durante todo el ciclo de vida del desarrollo de software. Por ejemplo, Snyk Open Source facilita la generación de SBOM y el uso de sus datos para obtener información útil. La velocidad de Snyk, impulsada por IA y respaldada por expertos, junto con su cobertura integral, quedó demostrada recientemente con el descubrimiento anticipado de la vulnerabilidad de día cero Leaky Vessels. 

Defenderse de riesgos desconocidos, como las vulnerabilidades de día cero, es difícil. Sin embargo, puedes controlar el nivel de caos que enfrentas cuando ocurre algo inesperado si cuentas con planificación y estructura. Tener una visión general de tu postura y programa de seguridad, comprender su eficacia, identificar las brechas y analizar las tendencias de problemas y correcciones ayuda a los líderes a tomar decisiones, crear estrategias y planificar para un futuro incierto. Quienes gestionan riesgos sueñan con poder ver, registrar y neutralizar todos los riesgos priorizados en la organización. Todo lo que hemos mencionado ayuda a acercarse a ese objetivo, pero cualquier experto en seguridad te dirá que también existe el problema de gestionar una multitud de herramientas dispares —con la complejidad adicional de los recursos de IA— sin una visión coherente y consolidada que muestre tanto el panorama general como los detalles del programa de seguridad. El enfoque de Snyk en la seguridad nos llevó a buscar cómo resolver este problema, y así nació Snyk AppRisk.

AppRisk te ofrece una visión panorámica de todo tu programa de seguridad para que veas qué análisis se están ejecutando y dónde (y si se ejecutan como deberían), hasta saber qué equipos o integrantes son responsables de cada tarea. Así puedes cerrar brechas y adoptar un enfoque integral, completo y más estratégico a largo plazo para tu postura de seguridad. No podemos cubrir todas las eventualidades, pero sin duda podemos ayudarte a prepararte mejor para lo desconocido.

Entonces, ¿qué le espera a la IA en la ciberseguridad?

Como herramienta independiente, con un modelo híbrido de IA respaldado ampliamente por el profundo conocimiento de expertos, Snyk impulsa la precisión, promueve un enfoque de seguridad integral y a largo plazo, dirigido por expertos, y busca mantener criterios imparciales en la revisión de código al no estar afiliado a proveedores de asistentes de programación. Como siempre miramos hacia el futuro, nos hemos adelantado varios pasos a los cambios del sector y hemos sido pioneros en enfoques de mejores prácticas para la seguridad de las aplicaciones que ahora promueve Gartner. 

¿Qué sigue para Snyk? Como la IA evoluciona tan rápido, es difícil saber con precisión qué estará haciendo cada quien dentro de 12 meses. Sin embargo, estamos trabajando para ofrecer una personalización profunda y flujos de trabajo cada vez más integrados. Puedes tener la certeza de que seguiremos protegiendo tus aplicaciones, tengan o no IA.

Nuestra visión es impulsar la ola de innovación ayudando a los equipos a adoptar la IA con facilidad, sin la carga mental de preocuparse por si la seguridad es suficiente. Confía en tu seguridad y tendrás confianza en tu IA. Con la solución de seguridad adecuada y el socio de seguridad correcto para tu IA, por fin podrás innovar con libertad.