Исследователи из Стэнфорда заявляют, что ИИ, генерирующий код, способен создавать уязвимости в системе безопасности

Стало известно, что программисты, пользующиеся услугами искусственного интеллекта (ИИ) в области генерации программного кода, рискуют системами безопасности, сообщил Tech Crunch 28 декабря 2022 года, ссылаясь на группу исследователей из Стэнфорда.

Ведущий соавтор исследования подчеркнул, что ИИ, разрабатывающие код, призваны облегчать труд инженеров-программистов, но не заменяют их. Однако некоторые разработчики продемонстрировали обеспокоенность тем, что ИИ зачастую используются там, где программист не обладает достаточными знаниями и опытом. И даже результаты проделанных работ системами генерации кода должны впоследствии детально перепроверяться программистом.

В рассматриваемом исследовании группы ученых из Стэнфордского университета внимание было приковано к системе генерации кода под названием Codex. Исследователи наняли 47 разработчиков, от студентов бакалавриата до профессионалов, чтобы «сотрудничать» с системой и проследить уязвимости безопасности на разных языках программирования. Известно, что Codex обучался на миллиардах строк общедоступного кода, чтобы затем предложить функции, которые бы учитывали контекст существующего кода.

Наблюдение за деятельностью испытуемых привели к выводу о том, что контрольная группа без доступа к Codex, написала более надежные коды, когда как использование системы продемонстрировало наличие уязвимостей в отношении кибербезопасности. Притом последние были уверены, что с кодом все в порядке.

Соавторы исследования объяснили, что наблюдаемые результаты не осуждают деятельность Codex и других систем генерации. Однако именно испытуемые обладали недостаточными знаниями в области безопасности, чтобы грамотно выявить ошибки кода. Системы генерации кода приносят большую пользу для задач, не связанных с высоким риском безопасности, например поисковый исследовательский код.

Исследователи делятся мнением о том, что, непреднамеренное допущение уязвимостей системами генерации кода – не единственный недостаток. Рассматриваемый генератор Codex поддерживает Copilot, который характеризуется ограничительной лицензией. Именно Copilot рекомендуется различной литературой, вроде «Мастерство JavaScript». Однако эксперты в области права обращают внимание на то, что Copilot подвергает компании и разработчиков риску, если они случайно используют предложения, защищенные авторским правом, в авторских кодах к программному обеспечению.

Исследователи рекомендуют проявить осторожность при использовании инструментов, связанных с Copilot, а новичков лучше обучать на основе лицензированных методов кодирования.