Código gerado por IA, segurança e confiança no desenvolvimento moderno

A maioria das organizações dos participantes conta com políticas que permitem pelo menos alguma utilização de ferramentas de IA, mas quase todas relataram que os desenvolvedores ignoram essas políticas. Ou seja, a confiança na entrega de código e sugestões por IA é maior que a depositada nas políticas de IA da empresa.

Com a rápida adoção de IA pelas empresas, essa discrepância cria riscos enormes, já que não há uma automação dos processos de segurança para proteger o código. Apenas 9,7% dos participantes afirmaram que suas equipes automatizam 75% ou mais das verificações de segurança, embora o uso de ferramentas de IA pelos desenvolvedores provavelmente acelere a produção de código. Essa falta de conformidade com políticas, agregada à maior velocidade de geração de código, aumenta mais do que nunca a importância da verificação de segurança.

Para 55,1% dos participantes, suas organizações já consideram a complementação de código por IA como parte da cadeia de suprimentos de software. Essa situação não levou a mudanças significativas nos processos de segurança de aplicativos orientados por IA. Segundo a maioria dos participantes, suas equipes adotaram pelo menos uma mudança nas práticas de segurança de software como resultado do uso de ferramentas de complementação de código por IA. No entanto, as porcentagens gerais nesta pergunta de múltipla escolha foram baixas.

A maior mudança percentual foi o aumento das verificações de segurança, por 18,4% dos participantes. Essa baixa adoção de mudanças pode ser atribuída à falsa percepção de que as sugestões de código geradas por IA são mais seguras do que o código humano. Fundamentalmente, alterações significativas na nossa forma de trabalho normalmente exigem revisão e mudanças correspondentes no gerenciamento de risco para abordar riscos novos/adicionais resultantes dessas alterações.

A grande maioria dos participantes expressou preocupações sobre as implicações de segurança do uso de ferramentas de complementação de código por IA. Essa necessidade contrasta com a forte confiança na capacidade de as ferramentas de codificação por IA gerarem código seguro e sugerirem código para aumentar a segurança.

Possivelmente, essa dissonância cognitiva resulta da mentalidade de rebanho: os desenvolvedores acreditam que, como todos usam ferramentas de codificação por IA, elas devem ser confiáveis e isso norteia suas ações. No entanto, em um nível mais contemplativo, eles compreendem os riscos e reconhecem que a IA pode injetar mais código inseguro do que percebem ou conseguem identificar facilmente sem medidas de segurança mais amplas.

Uma preocupação comum é que desenvolvedores que usam IA passarão a depender excessivamente das ferramentas de codificação e perderão a capacidade de criar código próprio ou executar tarefas essenciais de codificação nas quais costumam usar IA. Em algumas pesquisas, trabalhadores de conhecimento que dependem excessivamente de uma IA sólida tornam-se menos propensos a reconhecer boas soluções, o que pode ser atípico ou fora do padrão. Os participantes compartilharam essa preocupação: 45% afirmam ter alguma preocupação e 40% dizem estar muito preocupados. Ou seja, aparentemente estão cientes dos riscos de terceirizar para a IA uma parte excessiva de suas habilidades.