SASTAV и ARX ASPM PLATFORM объединили анализ кода и управление рисками

SASTAV и ARX ASPM PLATFORM объединили анализ кода и управление рисками

SASTAV и ARX ASPM PLATFORM объединили анализ кода и управление рисками

Российские разработчики ShiftLeft Security и ARX Security обеспечили совместимость SASTAV SAST и ARX ASPM PLATFORM. Теперь статический анализ исходного кода можно запускать и настраивать непосредственно из интерфейса ASPM-платформы.

Для каждого проекта специалисты смогут выбирать репозитории и ветки, формировать наборы правил, задавать параметры сканирования и устанавливать quality gate — критерии, определяющие, можно ли выпускать продукт с обнаруженными дефектами.

Там же настраивается порядок принятия рисков. В общем, релизу придётся не просто пообещать исправиться, а пройти формальный контроль.

SASTAV отвечает за статический анализ кода. Решение позволяет создавать и редактировать правила, назначать разные наборы проверок отдельным репозиториям и управлять параметрами сканирования.

ARX ASPM PLATFORM выступает единым центром управления AppSec-инструментами. Платформа собирает результаты разных анализаторов, объединяет связанные находки, оценивает риски и показывает общее состояние защищённости цифровых продуктов.

Оба решения используют искусственный интеллект, но на разных этапах. В SASTAV он участвует в проверке дефектов, автоматическом триаже, приоритизации и подготовке рекомендаций по изменению кода. Это должно уменьшить объём сырых предупреждений, передаваемых дальше.

ИИ-ассистент ARX ASPM PLATFORM определяет статусы дефектов, найденных платформой или импортированных из внешних систем. После интеграции получается двухэтажная схема: SASTAV изучает код и фильтрует находки, а ARX сопоставляет их с результатами других инструментов и помогает решить, какой риск допустим.

Разработчики рассчитывают сократить число ручных операций, ускорить подключение проектов к DevSecOps и снизить нагрузку на AppSec-команды.

Яндекс представил концепцию проверки ИИ на традиционные ценности

Яндекс представил правительственной рабочей группе концепцию национального набора тестов для проверки ИИ-систем на соответствие духовно-нравственным ценностям и российским условиям. Проект пока существует на уровне идеи, а окончательных решений по его устройству нет.

Предлагаемый датасет должен включать контрольные задания и эталонные данные, позволяющие сравнивать разные модели по единым критериям, сообщает «Коммерсантъ» со ссылкой на источники.

Обычно бенчмарки проверяют программирование, математику или решение рабочих задач. Теперь нейросетям могут добавить отдельный экзамен по духу времени — дисциплину, где списать правильный ответ будет особенно непросто.

Главный спор разгорелся вокруг публичности тестов. По сведениям источников, ФСБ выступает за закрытый формат: если разработчики заранее увидят вопросы, они смогут специально настроить модели на успешную сдачу.

Бизнес возражает, что полностью закрытая проверка замедлит выпуск новых версий и превратит тестирование в лотерею. В качестве компромисса обсуждается двухуровневая схема: открытый бенчмарк для предварительной настройки и закрытый — для финального экзамена по тем же темам, но с другими формулировками.

Не решено и то, кто будет определять содержание заданий. Представители ИТ-отрасли предлагают создать совместную комиссию из чиновников, бизнеса и экспертных организаций.

Дополнительная сложность заключается в самих критериях. В математике или программировании можно задать точный эталонный ответ. Со справедливостью, исторической памятью и другими ценностными категориями такой номер не пройдёт: здесь потребуется рубрикатор или экспертная оценка.

В аппарате вице-премьера Дмитрия Григоренко и Минцифры подтвердили, что предложения ещё обсуждаются. Яндекс публично концепцию не комментировал.

Напомним, ранее мы писали, что российские разработчики смогут передавать большие ИИ-модели в независимые испытательные лаборатории, которые проверят их на соответствие законодательству и традиционным духовно-нравственным ценностям.

Update:

Представители Яндекса добавили официальный комментарий:

«Яндекс не представлял концепцию национального датасета и набор тестов для проверки ИИ-моделей. На рабочей встрече в Минцифры представители нескольких компаний обсуждали возможные подходы к такой проверке. Яндекс был одним из участников обсуждения и высказал свою позицию – содержание датасета должно быть открытым по общепринятым принципам отрасли».

RSS: Новости на портале Anti-Malware.ru