Apa yang berlaku apabila vulnerabilities ditemui lebih cepat
Kita sedang memasuki era baharu keselamatan aplikasi. Model AI frontier sedang menyingkap kecacatan kompleks yang terlepas pandang oleh alat tradisional, dan penyerang pula menggunakan model yang sama untuk mengeksploitasi kecacatan itu lebih cepat. Pembaikan tidak mampu mengejar: Laporan Verizon 2026 Data Breach Investigations Report (DBIR) mengukur masa median untuk membaiki sepenuhnya kerentanan yang diketahui telah dieksploitasi pada 43 hari, naik daripada 32 hari pada 2025.
Pasukan keselamatan anda sudah terbeban oleh portofolio aplikasi yang semakin berkembang, kebergantungan pihak ketiga, dan aliran pendedahan baharu yang berterusan. Walaupun ejen yang mencari kerentanan dan menulis pembaikan semakin mudah diakses, mengintegrasikannya ke dalam cara organisasi sebenarnya membina dan menghantar perisian masih sukar.
Tampalan yang dijana masih perlu diuji. Dasar keselamatan perlu dikuatkuasakan. Perubahan perlu disemak dan diluluskan. Dan akhirnya, pembaikan perlu sampai ke persekitaran pengeluaran dengan selamat.
Pada pandangan saya, di sinilah peralihan besar seterusnya dalam keselamatan aplikasi akan berlaku. Kita perlu menggunakan ejen autonomi di dalam kilang perisian. Itulah sebabnya kami membawa Claude Mythos 5.1 daripada Anthropic ke dalam GitLab, dan menyambungkan pengesanan, pembaikan, serta pencegahan dalam satu aliran kerja yang boleh dipercayai.
Apabila kerentanan kritikal muncul, jam mula berdetik
Kerentanan kritikal seperti PHP2Shell membuatkan pasukan keselamatan kelam-kabut memahami pendedahan. Bagi organisasi besar, itu bermakna menilai impak merentas ratusan atau ribuan repository, aplikasi, dan kebergantungan.
Mengenal pasti pendedahan hanyalah langkah pertama. Pasukan anda kemudian perlu menilai keupayaan kerentanan untuk dieksploitasi, mengutamakan aplikasi terjejas, menyelaras pembaikan, menjalankan ujian, dan membawa perubahan ke persekitaran pengeluaran. Setiap pemindahan kerja mengambil masa, dan kelajuan sangat penting: 31% pelanggaran data kini bermula dengan eksploitasi kerentanan, menjadi vektor akses awal paling utama buat pertama kali dalam sejarah 19 tahun DBIR.
Apabila semakin banyak kerentanan kritikal muncul, model tradisional untuk menyiasat temuan secara manual, menetapkan tiket, dan menunggu pembangun menulis pembaikan menjadi semakin sukar dikekalkan.
Itu perlukan alur kerja keselamatan yang mampu beroperasi pada kelajuan mesin, sambil mengekalkan kawalan yang organisasi bergantung padanya untuk menghantar perisian yang boleh dipercayai.
Bawa remediasi agentic ke dalam kilang perisian
Ejen AI boleh buat kerja yang mengagumkan dalam penemuan kerentanan dan remediasi. Cabarannya ialah menjadikan kerja itu boleh dipercayai dan boleh diulang di seluruh organisasi.
Ejen boleh hasilkan patch dalam beberapa saat. Tapi sama ada ia memahami aplikasi, mengesahkan perubahan terhadap build sebenar, dan mematuhi polisi keselamatan anda, itu soalan berasingan. Semua ini makin sukar dijawab, dan makin mahal kesilapannya, apabila anda deploy ejen ke ribuan projek.
Di GitLab, kami bawa alur kerja keselamatan agentic ke dalam persekitaran tempat pasukan membangun, menguji, dan menghantar perisian.
Semua yang ejen lakukan bergantung pada seberapa baik ia memahami sistem anda, dan pemahaman itu melangkaui repository. GitLab Orbit, graf konteks langsung bagi kitaran hayat perisian anda, menyambungkan temuan dengan perubahan yang menyebabkan temuan itu, pipeline yang menghantarnya, dan pasukan yang bertanggungjawab atas pembaikan. Ia juga cara anda menjawab soalan selepas pendedahan seperti PHP2Shell: Adakah kita terdedah? Adakah ia reachable? Sejauh mana ia tersebar, dan bagaimana kita memperbaikinya tanpa merosakkan production?
GitLab Duo Agent Platform menyiasat temuan dalam konteks perisian anda dan cara ia dibina, menapis kemungkinan false positives, dan menyusun keutamaan berdasarkan exploitability serta reachability.
Bagi temuan yang penting, Duo tulis pembaikan dan masukkannya ke pipeline anda untuk mengesan regressions serta menjalankan semula imbasan keselamatan. Dalam satu merge request, developer menyemak perubahan, penjelasan Duo, dan hasil pipeline.
Pasukan keselamatan beralih dari memahami exposure ke memulakan remediasi dalam satu laluan, manakala developer beralih dari mengejar temuan ke menyemak pembaikan. Oleh kerana alur kerja ini berjalan di dalam kilang perisian, ejen beroperasi dalam proses dan kawalan yang sama yang organisasi sudah gunakan untuk menghantar perisian.
Begitulah cara kami mengubah agentic security daripada keupayaan terpencil menjadi sesuatu yang boleh dipercayai dan dikendalikan oleh enterprise merentas ribuan projek, pada kelajuan mesin.
Gunakan frontier AI untuk menangani kerentanan paling kritikal
Antara kerentanan aplikasi paling berbahaya memerlukan pemahaman mendalam tentang bagaimana software sepatutnya berfungsi: tiada pemeriksaan authorisasi, logik kepemilikan yang rosak, dan kecacatan logik perniagaan yang mendedahkan data pelanggan atau membolehkan pengguna melakukan tindakan yang tidak sepatutnya.
Pengimbas tradisional sukar menangani isu ini kerana menemukannya memerlukan penalaran tentang tingkah laku aplikasi dan hubungan antara komponen.
Business Logic Security Analyzer baharu kami, keupayaan GitLab pertama yang menyokong Claude Mythos 5.1 daripada Anthropic, memeriksa bagaimana aplikasi anda menguatkuasakan peraturannya: ia membaca seluruh repository dan merge request yang masuk, meneka apa yang setiap endpoint perlu menguatkuasakan, dan menandakan jurang yang sering terlepas daripada perhatian pengimbas berasaskan corak.
Tetapi peluang sebenar hadir apabila penemuan itu disambungkan kepada workflow yang sudah digunakan oleh pasukan. Apabila kelemahan kritikal ditemui, pasukan perlu memahami kesannya, memulakan tindakan pembetulan, mengesahkan cadangan pembaikan, dan mengeluarkannya dengan selamat. Mengintegrasikan frontier AI ke dalam software factory membuka laluan untuk menjalankan keseluruhan proses itu pada kelajuan mesin.
Kecerdasan model hanya bernilai sejauh mana anda mampu bertindak atasnya.
Halang kod berisiko daripada sampai ke production
Menemui kerentanan lebih awal memang bernilai, tetapi menghalang kod berisiko dan pakej tidak selamat daripada sampai langsung ke production adalah lebih baik lagi. Perlindungan ini menjadi semakin penting apabila agents memperoleh autonomi.
Kawalan keselamatan perlu disematkan di seluruh software factory dan dikuatkuasakan tanpa mengira manusia atau agents yang membuat perubahan, dengan setiap perubahan melepasi gate yang sama sebelum diteruskan.
GitLab Ultimate membawa static analysis, dependency scanning, container scanning, secret detection, policy enforcement, dan approval gates terus ke dalam proses penghantaran perisian. Dasar-dasar itu ditetapkan secara berpusat dan dipakai secara konsisten merentasi projek dan pipeline, jadi penulis sesuatu perubahan, sama ada manusia atau agent, tidak boleh mengubah atau mengecualikan kawalan yang menilai kerjanya.
Pemantauan yang sama perlu meluas kepada perisian pihak ketiga. Aplikasi moden sangat bergantung pada dependency sumber terbuka, dan package yang rentan atau bersifat jahat boleh membawa risiko serius sebelum pembangun menulis sebaris kod pun.
Dependency Firewall GitLab menyekat package yang melanggar dasar sebelum package itu masuk ke dalam build anda. GitLab Secrets Manager membolehkan setiap job mengakses hanya credential yang diminta dan dibenarkan untuk digunakan, jadi dependency yang telah diganggu hanya boleh mencapai secrets bagi job tempat ia dijalankan.
Agent perlukan kebebasan untuk bekerja cepat, dalam sempadan yang tidak boleh dilanggari. GitLab Duo Agent Platform memberi setiap agent identiti komposit yang mengehadkannya kepada permission yang dikongsi dengan pengguna yang membuat permintaan, sandbox yang dimusnahkan apabila tugas tamat, dan rekod setiap tindakan. Sempadan ini sebahagian daripada GitLab Security Standard, yang menetapkan bahawa agent hanya memperoleh lebih banyak autonomi apabila kawalan di setiap peringkat terbukti kukuh.
Kawalan yang menjadikan sesuatu perubahan boleh dipercayai perlu kekal berkesan pada setiap langkah, walaupun kerja itu berjalan pada kelajuan mesin.
Bab seterusnya bagi keselamatan akan ditentukan oleh trusted execution
Frontier models akan terus bertambah baik, agent keselamatan akan menjadi lebih mampu, dan kerentanan yang dahulu sukar dikesan akan menjadi lebih mudah ditemui. Kemajuan itu akan memberi tekanan besar terhadap cara organisasi bertindak balas.
Pasukan keselamatan boleh menggunakan model paling canggih yang tersedia, tetapi keupayaannya untuk mengurangkan risiko masih bergantung pada seberapa cepat dan selamat ia dapat menukar temuan kepada pembetulan yang siap untuk produksi.
Inilah sebabnya software factory penting. Di sinilah agent mendapat context yang diperlukan untuk memahami aplikasi, di mana perubahan disahkan terhadap build dan ujian sebenar, di mana dasar keselamatan dikuatkuasakan, dan di mana pengawasan manusia dilaksanakan tanpa memperlahankan setiap langkah dalam proses.
Di GitLab, kami menyatukan keupayaan ini supaya anda boleh mengautomasikan pembaikan, menemui kelemahan kompleks, dan menghalang perubahan tidak selamat daripada dihantar, semuanya dalam alur kerja yang sudah anda gunakan.
Kelebihan keselamatan seterusnya akan datang daripada seberapa cepat organisasi dapat mengubah penemuan kritikal menjadi pembaikan yang disahkan dan boleh dipercayai.
Kami menjemput anda untuk menjalankan sprint keselamatan seterusnya atas belanja kami. Pasukan yang layak boleh memohon akses kepada GitLab Ultimate, GitLab Duo Agent Platform, GitLab Orbit, dan GitLab Secrets Manager, dengan kredit percuma. Mohon akses kepada tawaran sprint keselamatan.
Sumber Rujukan:
- Artikel asal: GitLab Blog
- Diterjemah daripada artikel asal ke Bahasa Melayu oleh AI Editorial – haqis.com
