/filters:no_upscale()/sponsorship/topic/08e8377f-e75b-4cb2-9c90-3e4f8149a830/HarnessWebinarApr16-RSB-1772813583373.png)
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
人工智能正在迅速改变软件漏洞检测，但治理和风险管理问题日益突出。GitLab指出，仅靠检测无法全面管理风险，开发者和安全团队需重新审视治理和问责机制。建议将AI检测融入政策驱动的DevSecOps框架，强调统一可见性和持续风险评估，以确保AI发现的有效性和责任。
🎯
关键要点
- 人工智能正在迅速改变软件漏洞检测，但治理和风险管理问题日益突出。
- 仅靠检测无法全面管理风险，开发者和安全团队需重新审视治理和问责机制。
- 建议将AI检测融入政策驱动的DevSecOps框架，强调统一可见性和持续风险评估。
- 企业安全领导者关注漏洞是否得到合理分类、优先级排序和修复。
- 生成更多发现可能造成噪音，缺乏政策保护和治理结构。
- 建议在组织层面定义风险容忍阈值，实施与严重性、可利用性或合规要求相关的合并和部署门槛。
- 强调在软件生命周期中实现统一可见性，以便将AI发现与资产重要性和运行时暴露相结合。
- 开发者和安全工程师应将AI视为加速器，而非风险治理的替代品。
- 行业趋势显示，治理AI风险的原则正在趋同，强调检测能力与结构化监督和问责相结合。
- NIST建议采用生命周期方法，围绕治理、风险映射、测量和持续管理构建。
- 技术公司和行业框架呼应治理优先的思维模式，强调透明性、可解释性和问责制。
- 有效的AI治理依赖于操作实践，包括监控、人为监督、可测量的风险阈值和持续合规验证。
➡️
