AWS Continuum вышел в общий доступ: ИИ ищет уязвимости в коде и присылает исправления — что делать в России
AWS Continuum for code vulnerabilities вышел в общий доступ: сервис ищет уязвимости в коде, проверяет, можно ли ими воспользоваться на деле, и присылает исправление на одобрение человеку. В России сервис недоступен, но сам порядок работы перенести к себе можно.
Amazon Web Services 22 октября открыла общий доступ к сервису AWS Continuum for code vulnerabilities. Он делает то, на что у команды разработки обычно не хватает рук: из тысяч предупреждений сканеров выбирает уязвимости, которые реально опасны для конкретной компании, доказывает это и сразу готовит исправление. Исправление приходит как pull request, то есть как предложение правки, которое разработчик смотрит и принимает сам. По словам компании в её блоге, в крупных системах сканеры выдают тысячи срабатываний в день, и разбирать их вручную уже не получается.
Что именно умеет AWS Continuum
Сервис работает в четыре шага.
| Шаг | Что происходит |
|---|---|
| Карта системы | Строит граф из репозиториев кода и облачной инфраструктуры компании: ресурсы, сетевые настройки, связи между сервисами |
| Приоритеты | Находит важные для бизнеса системы, их владельцев и данные, с которыми они работают, и ставит выше уязвимости с самым коротким путём атаки к ним |
| Проверка | Присваивает каждой находке уровень доказанности. Если уязвимость воспроизводится, запускает атаку в изолированной песочнице и прикладывает код и шаги повторения. Отдельно оценивает, остановят ли атаку уже работающие средства защиты |
| Исправление | Готовит правку кода, обновление библиотеки или смену настройки и открывает pull request на проверку |
Подробности, которые важны для оценки:
- Человек в контуре. Сейчас любое исправление сначала одобряет человек. Самостоятельное применение правок AWS обещает позже и только после проверок: покрытие тестами, границы изменений, доля прошлых успешных правок.
- Пример из анонса. Уязвимость высокой серьёзности в сервисе корзины: эксплуатируется без входа в систему и без действий пользователя, злоумышленник может менять данные других пользователей той же организации. Исправление затронуло четыре файла: добавлено 50 строк, удалено 24.
- Откуда берёт код. Подключение к GitHub или загрузка кода в хранилище Amazon S3. Сканирование идёт по расписанию или по запросу.
- Где доступен. Только в двух регионах AWS в США: Северная Вирджиния и Орегон. Цены вынесены на отдельную страницу, в анонсе их нет.
- Чего нет в анонсе. Списка поддерживаемых языков программирования и других хранилищ кода, кроме GitHub и S3.
Компания сама подчёркивает: готовая правка ещё не означает, что проблема решена. Её должен посмотреть и принять человек.
Что это значит для компаний в России
AWS с 2022 года не принимает новых клиентов из России, а Continuum к тому же работает только в двух регионах США. Отправлять туда исходный код и описание своей инфраструктуры российской компании и неудобно, и рискованно. Зато анонс хорошо показывает порядок работы, и его можно повторить у себя.
Главная мысль AWS: найти уязвимости легко, трудно отобрать из них настоящие. Обычный сканер выдаёт длинный список, и команда тонет в нём. Полезен только тот список, где каждая находка привязана к бизнесу: какие данные она открывает, есть ли к ней путь снаружи, воспроизводится ли она на деле.
Порядок внедрения проверки кода с ИИ у себя:
- Опись систем. Выписать, какие программы и сервисы критичны: сайт с заявками, личный кабинет, интеграция с CRM и 1С, всё, где лежат персональные данные клиентов. Здесь уязвимость дороже всего.
- Регулярный автоматический прогон. Проверка кода и библиотек по расписанию и на каждое изменение. Разовый аудит раз в год отстаёт от кода уже через месяц.
- Отбор по реальности. Каждую находку проверять: есть ли путь атаки снаружи, нужен ли вход в систему, какие данные затронуты. Пустые срабатывания отсекать.
- Исправление как предложение. Правка приходит отдельным запросом на изменение с тестами. В рабочую версию напрямую ничего не попадает.
- Решение за человеком. Выкладку одобряет ответственный. Автоматическое применение правок — только для простых случаев и только когда накоплена история успешных исправлений.
Для небольшой компании без своего программиста шаги 2–4 — самая тяжёлая часть: кто-то должен разбирать находки и писать исправления. Так работает IT-специалист КАРАДЕСК: он берёт доработку и исправление существующих программ, сайтов и интеграций с CRM и 1С. На каждое изменение — тесты, повторная проверка и ревью инженером, журнал изменений, а выкладка — только после одобрения клиента. Код и документация остаются у клиента, данные клиентов обрабатываются в России. Архитектуру утверждает инженер, приёмку — сама компания.
Как ИИ-агенты находят реальные дыры в чужих приложениях, мы писали в новости о 24 уязвимостях в Android, найденных агентом GitHub. А где ИИ-программист справляется сам, а где нужен человек, — в статье «ИИ-программист: что он делает и где нужен человек».
Коротко
- AWS открыла общий доступ к AWS Continuum for code vulnerabilities — сервису, который ищет, проверяет и исправляет уязвимости в коде.
- Сервис ставит выше уязвимости, ближе всего ведущие к важным системам, и доказывает их запуском атаки в песочнице.
- Исправления приходят как pull request, сейчас каждое одобряет человек.
- Доступен только в двух регионах AWS в США, цены в анонсе не названы; в России сервис недоступен.
- Порядок работы можно повторить у себя: опись систем, регулярная проверка, отбор реальных угроз, правка на одобрение.
Вопросы и ответы
Что такое AWS Continuum for code vulnerabilities?
Сервис Amazon Web Services, который по коду и облачной инфраструктуре компании находит уязвимости, проверяет, опасны ли они на деле, ранжирует их по важности для бизнеса и готовит исправления в виде pull request.
Можно ли пользоваться AWS Continuum в России?
Нет. AWS не принимает новых клиентов из России, а сервис работает только в двух регионах США. Российским компаниям стоит выстроить такую же проверку кода у себя, не отправляя код за рубеж.
Сколько стоит AWS Continuum?
В анонсе цены не названы, AWS вынесла их на отдельную страницу сервиса.
Исправляет ли ИИ уязвимости сам?
Пока нет. Каждую правку сначала одобряет человек. Самостоятельное применение исправлений AWS обещает позже и только после проверок по тестам и истории успешных правок.
Продукт: IT-специалист
Обсудим вашу задачу
Оставьте телефон — перезвоним в рабочее время, покажем демонстрацию на вашем сценарии и честно скажем, где ИИ не подойдёт.
