Чаму DevSecOps стае новым вузькім месцам у эпас АІ-кодавання

Короткая характарыстыка: Якісь дзесяць гадоў адной з найдорожэйшых частак у стварэнні програмнага забавы была сама процедура яго напісання. Інжынеры мусілі ператвараць трэбавання на архітектуру, ствараць тыячы рядоў коду, ловіць багі, пісаць тэсты, з’ўязваць системы між сабою і нарэшце запускать усё у працу. Генератыўскі ІІ перакручвае этыя правілы. Сэргодні разработчык можа проста описаць, калі ёму трэба, простым языкам, а агент на базе ІІ стварыць значную частку фактычнай рэалізацыі — API, запиты SQL, наборы тэстаў, інфраструктуру у вигляде коду, дакументацыю, скрыпты міграцыі, а інодзе нават цэлыя прыкладніцы. Гэта вучоў не ёсць маргінальным эксперыментам. Даследжэнне Google з 2025 года DORA паказала, што 90% апытных спецыялістаў у сферы тэхналогій вжываюць ІІ у свайскай роботе, а больш за 80% сказалі, што гэта падвышае ўжо іх продуктыўнасць. Але ёсць аднай умовы, якую трэба врачыць: як толькі створана.

Програмна аплікацыя становіцца значная часткай дешэвей, таму пераконтрольваць такую аплікацыю становіцца ўсё бол важлівым. Чым больш коду ствараецца, тым больш площы трэба працаваць пад час тэставання. Чым больш залежнасцей інтегруецца, тым больш ризыка через ланцуг саплывоў. Чым больш аплікацый выкладзецца, тым больш інфраструктуры трэба кераваць. Чым больш выходзіць новых версый, тым больш змян падае ў працэс вырабоцтва. А чым больш коду стварае ШІ, тым больш адкрываецца пытанняў пра тое, звідзе ён прыйшоў, чы ён безпечны, чы супакоўвае нормы, і хто несе за ўсё адпаведнасць. Таму наступны справжні поворотны момент у інжынерыі програмнага забезпечэння можа ўзагалі не быць кодаваннем пад адказ ШІ — гэтым можа стаць DevSecOps, керованы ШІ: аўтаматызаваны слой довер'я, які стоіць межы кодам, створаным ШІ, і системамі, якія працуюць у працэсе вырабоцтва.

Ныячая ситуацыя: ШІ атакуе «вузькія месцы» у кодаванні

Класычны ўзор працы над програмнай інжынерыяю зазвычай выглядае так:

Трэбаванні → Дыяграматыка → Код → Тэставанне → Безпека → Развяроцеўка → Эксплуатацыя

У большай часткі гісторыі напісанне самога коду займала большую частку зусіль.

Стварэнне новага API вручную могла зайняць у разработчика калькі дней.

Цяпер разработчык можа замест таго даваць вказівкі ШІ-агенту наступным чынам:

"Створыце REST API для прыемкі новых кліянтав у Python. Уключыце перакананне вхідных дадзеных, шар зберагачэння, аутентыкацыю, тэсты на единіцы, Dockerfile і маніфесты развяроцеўкі."

Агент можа завершыць вялікую частку ціх задач за калькі хвілін.

Это фундаментальныя змены ў эканоміцы стварэння програмнага забавля.

Косц стварэння ўсё новых функцый, ўсё новых сервісаў, ўсё новых дапытак продовжвае падсыхаць.

І можлівасці AI больш не аб’язкова толькі до автодапраўлення коду — яна распространяецца на агентскія дзеяння: парсаванне цэлых репазітарыёў, рэдагаванне ў калькольных файлах, выконванне набораў тэстаў, вылечванне проблем і самастойнае стварэнне запрошэнняў пра з’еднанне коду.

Gartner называе гэты трыенд AI-орыгінальным інжынерным проектаванням — модэлем, у яком AI ўжоўвана ў всі этапы циклу разработкі, а не толькі дапамагае з фрагментамі коду. Компанія прыпускае, што да 2028 года 90% інжынераў у корпоратывах будуць апыляцца на AI-асистэнтов для коду.

Але шырэйшае напісанне коду не прыводзіць апошнюча да шырэйшага выпуску програмнага забавляння.

Гэтае разлікі ёсць важлівай часткаю.

Мы перасуваем бутлнэк

Уявіце сабе інжынерную організацыю, якая раней выпускала:

100 змян у програмнаму забавлянне ў кожны тыдзень.

Їхнія каналы тэставання, пераконтроль безпекі і інфраструктура развяроць былі створаны так, каб выдарыць адпаведны навантажэння.

Тепер у гру вступаюць агенты ШІ.

Разработчыкі раптам працуюць набагато швэдзей, а ўсё больша колькасць роботы ў тыдзень досягае:

300 змян у програмнаму забезпечэнню.

Это вялічезны прырост капацітэту для напісання коду.

Але тепер:

300 змян трэба пераглядзець з точкі зору коду.

300 змян трэба працаваць праз тэсты.

300 змян трэба пераканацца ў ўсуненні рызыкаў для безпекі.

300 змян могу прынесці новыя залежнасці.

300 змян трэба пераканацца ў ўсасненні з правіламі.

300 змян трэба апрацаваць ў плане развяроці.

І вся гэта ў канечнай лініі прыводзіць да большага колькасці програмнага забезпечэння, якое трэба стежыць у працоўным серавере.

Обмежэння не зникло — яно толькі перасунулася.

Стары вопыт быў:

Чаму мы можамы ствараць програмнага забезпечэння дастаточна швэдзей?

Новыя запитаннія ў такім разе:

Чы можам мы пераканацца ў якосці та безпечна запускаць програмнай апаратуру достатняя швальна?

DORA описвае вплыв ШІ як дзейство падсілальніка — ён падсіляе будзь-якія існуючыя інжынерныя практыкі, незалежна ад таго, чы ўжо яны хорашы, чы паслаблены. Їхнія вынікі паказуюць, што ШІ можа прышвартаваць швальнасць выдання рэшынак, адночаса адкрываючы слабія ў системах, якія не былі створаны для перакрыць такую швальнасць.

Такая перафармуляцыя мае вельмі важлівое значэнне.

Новая формула інжынеріі програмнай апаратуры

Простаю мовай, схема, якая формуецца, выглядае так: впрыем ШІ спрыяе зростанню колькасці коду, што у свою чаргу прыводзіць да зростання колькасці змян, якія праходзяць через процес стварэння, а гэта зноў вялікая колькасць патрабаванняў на пераканацца ў якосці, што прымушвае команды адмахнуцца ад ручной працы і перайсці да болей актыўнай автаматызацыі, што востатком прыводзіць організацыі да большых інвестыцый у інжынерію платформ.

Альбо, стиснута ў аднае рэченне:

Стварэнне коду стае дешавей. Але сама доверленасць да яго становіцца найважлівейшым аспектам.

Гэтае галоўная прычына, чаму DevSecOps будзе набіраць ўжо больш значэння, калі розрабатка за дапамою ШІ стане нормай, а не застацца на другім плэсе.

Што такое DevSecOps?

Лёгка скараты DefSecOps да „падключэння сканера безпекі да вашага CI/CD пайплайна“, але так не можна пераказаць усё, што ён на самай працэ выкананы.

DevSecOps – гэта набагато шырэйшая концэпцыя.

У сваій сутнасці ён спаўнюе:

Разработка + Безпека + Аператыўнае кераванне

у аднам цэлым пайплайне доставкі.

Уявіце сабе гэта як прыстрой, який вяршыць, чы розроблена разработнікам – або, як стае чым далей, створаная агентам ШІ – рэштка даслужыць таго, каб працавала ў працэйнай средзе.

Полны пайплайн DevSecOps зазвычай включае:

Контроль варыянтаў коду

Код для адзірнавання, галузі, збережэннія коду, запросы прыўязкі і історыя змян з часам.

Якосць коду

Адзірнавання коду, статычны аналіз, пераконтроль архітектуры і ацэнка здатнасці коду да падтрымкі.

SAST

Статычныя тэсты безпекі прыкладненняя скануюць кантэнт коду непасрэдна на наявнасць абавязковых слабасей.

Адкрыць секрэтных дадзеных

Сканаванне на наявнасць пароляў, ключаў API, сертыфікатаў чы токэнаў, якія можаць быць випадкова зберажаныя ў репазітарыі.

SCA

Аналіз складу программнага забавега выяўляе рызыкаваныя чы вразламныя залежнасці трэціх сторон.

SBOM

Спіс компанентаў программнага забавега пераказвае асоблівасці компонентаў, якія ўключаныя ў прыкладненне.

Безпека IaC

Сканеры, якія аналізуюць код Terraform, CloudFormation, маніфесты Kubernetes і падобны код інфраструктуры.

Безпека контэйнераў

Пераконтроль зображэнняў контэйнераў на наявнасць вразламных пакетаў ОС, застарэлых бібліятэкаў і неправильных налашоўкаў.

Тэставанне

Тэсты на адзінкавасць, інтеграцыю, рэгрэсію, API, выконвальную спроможнасць, а таксама тэсты, створаныя са адказою ШІ, якія паказваюць, чы робота правильная.

Палітрыкі і санацыя

Правілы, прызначаныя для конкрэтных падпрыемств, якія пераканальваюць, што програмна апаратура падтрымлівае організацыйныя, норматывныя та архітэктурныя стандарты.

CI/CD

Пасля апраўлення програмная апаратура ствараецца, пакуўаецца і запускаецца ў разныя среды.

Развёртыванне

Стратэгіі развёртывання, такія як выпуск версый паэтапна, развёртыванне у формате «сіні/зелены» та викорыстанне флажоў функций, керуюць тым, як код прабіваецца ў працоўную среду.

Безпека пад час выканання та можлівасць стазіроўкі

Жывыя прыемлі неперывна стазіруюцца на наявнасць вразламоў, атак, збоёў, незвычайнай роботы та падышэння ў выконвальной спроможнасці.

Уся гэтая система становіцца ўсё бол важлівай, калі машыны беруць у сабе все большую частку самога процесу напісання коду.

ШІ таксама змінюе DevSecOps

Існуе ўсё жа адна яшчэ віцебныня гэтага пераходу, якая варта аналізу.

DevSecOps не толькі будзе кераваць большым об’ёмам коду, напісанага сяродовымі.

Сам DevSecOps стае сяродовым-кераваным.

У настоўчы час типавы сканер можа пазначыць кашто-небудзь на кшталт:

Зафіксавана критычная вразломнасць у залежнасці X.

Версія таго ж системы, кераваная сяродовым, можа зрабіць больш:

Зафіксавана критычная вразломнасць. Ось чаму гэта мае значэнне. Ось шлях коду, які падвергся вплыву. Ось рэкамендаваная версія. Я створыў выправленне. Я запусціў тэсты на регрэсію. Ось запрос на з’еднанне.

Гэта являе сабою абсалютна іншы спосаб работы.

Ад выявлення да автонамнага выправлення

Паглядзіце, як гэтая можнасць зазвычай розвіваецца паэтапна.

Генерацыя 1: Выявлення

Інструмент паведамляе чалавека:

«Існуе вразлівасць.»

Потым інжынер прыначынае расследаванне.

2-я генерацыя: Рэкамендацыя

Інструмент дзейнае даўжэй:

«Існуе вразлівасць, і гэта як яе выправіць.»

Інжынер выканае запропанаваную выправу.

3-я генерацыя: Усунэнне

Інструмент робіць ўсё большыя крокі:

«Існуе вразлівасць. Я ўжо напісаў выправу і ачыніў запрос на з’еднанне коду.»

Задача інжынера становіцца перагляд гэтага запросу.

4-я генерацыя: Аўтонамны DevSecOps

У канцы канцоў, для змян з дастаткова низкім рызыкам, весь ланцуг:

Адкрыцья → Разумеўнне → Выправа → Тэставанне → Аправарэнне → Развяртанне → Кантроль

можа працаваць практычна без участі чалавека.

У зямест на тое, каб выконваць кожны крок ручна, людзі прыходзяць да таго, каб ствараць правілы, кераваць асунаннямі та надзірваць систему в цаласці.

Ланцоўка сапраўднення програмнага забезпечэння становіць ся критычным

Існуе ўжо адна прычына, чаму гэты пераход так важлівы.

Сучаснае програмнае забезпечэнне рэдка калі пішацца цэлкам з нуля. У зямест таго яго складаюць з многа зовнішнях джэрел: бібліятэкаў, якія беруцца з реестраў адкрытага кода, API трэціх сторон, ужо ствараных абразаў контейнераў, фрэймворкаў прыкладнае програмаў, кераваных хмарных служб, модуляў інфраструктуры, якія можна викорыстоўваць знову, а таксама рэзультатаў, якія вырабляюцца безпасуго аб’ектамі ШІ.

ШІ значна прышвартоввае гэту работу з складаннем.

Даследжэнне Sonatype за 2026 год працоўкі ланца сапраўдніка програмнага забаводу описвае гэты экасыстэму як тая, якая прыбліжаецца да машынавага масштабу, адзначаючы автаматызаваныя процесы стварэння, расширэнныя графікі залежнасцей і агенты ШІ, якія робяць паводлівасць і доверлівасць ўсё бол важлівымі.

У результате організацыі все больш патрабуюць адказоў на такія запытанні:

Дзе выйшаў гэты код?

Калькі ШІ яго створыў?

Калькі версія модэлю яго створыла?

Калія залежнасці ён выкарыстоўвае?

Чы рэгулярна перагледваліся і затверджваліся гэтыя залежнасці?

Калія пераказаўкаў безпекі была адбыта над ям?

Калія правіл была застосавана?

Калькі падпісаў узгоджэнне аб размешчэнні?

Што на самай працоўцы зараз фактычна работае?

Это выважае DevSecOps за межы простай автаматызацыі.

Гэта прыводзіць да стварэння системы довяры да програмнага забаву на всім падпрыемстве.

Адказнасць AI стае новым трэбаваннем

Гэтыя проблемы вже выклікаюць адзінакоўства ў працэсах даследжэння рынку.

У апытнах даследжэннях GitLab з 2026 года выявілася, што 80% учаснікаў заявілі, што ў их організаціях інсталюваліся інструменты AI быстрэй, чым былі створеныя правіла керавання, і 92% апісалі проблемы з кераваннем, якія былі спецыфічна пов’язаны з кодам, створанным за дапамогою AI.

Уявіце аудытара, які запытае:

"Чаму гэты фрагмент коду мае доступ да фінансавых дадзэнняў кліентаў?"

Раней можна было проста назваць адпаведнага разрабоўца.

У робочым процесе з агентным развіццем часам правдзівай адказом будзе:

«Ёго створыў агент для кодавання на базе AI пад час работы над фічай #4821.»

Это адкрывае цэлы новы набор пытанняў, касаючыся карыстоўвання такіх тэхналогій.

Какі запрос спрыяў яго стварэнню?

Да какога контексту ён меў доступ?

Чы не была запрашана новая залежнасць?

Чы гэтая залежнасць была схвалена для выкарыстоўвання?

Какія тэсты на самай праце былі адбыты?

Чы хтось з людзей пераглядаў змяну пры ўжыванні?

Калькі агента безпекі AI, які толькі існуе, яго ацэніў?

Корача, праэксгуранція AI стае новым неабходным элементам у ланцугу постачання програмнага забавляння.

Развіцце платформ AI DevSecOps

Сучасныя падпрыемства зазвычай викорыстоўваюць сумешанні разных, несувязаных адзін з іншым інструментаў, прыкладна:

Разработчык → GitHub → Jenkins → SonarQube → Snyk → Artifactory → Kubernetes → Datadog → ServiceNow

Кожны апарат займаецца адзінам элементам працы.

Штучны інтэлект робіць гэтыя фрагментацыі ўсё дорожэй, таму што агентам для эфективнасці патрэбны даны пра весь цикл жыцця.

Агент штучнага інтэлекту, які усуняе проблемы пад час роботы, можа патрабаваць доступ да:

• Первоначальных трэбаванняў
• Коду выканання
• Історыі зберагаў
• Рэзультатаў тэстаў
• Даных пра слабасці
• Історыі развяртання
• Канфігурацыі інфраструктуры
• Логаў часу выканання
• Данных тэлеметрыі з робочага сервісу
• Запісаў пра паказаныя раней інцыдэты

Гэтае патрабаванне спрыяе пераходу рынку да аб’еднаных інжынерных платформ.

Gartner уже заносіць інжынерыю платформ і інжынерыю платформ, апрацоўваную за дапамогою тэхналогій GenAI, у число ключовых трансфармацый у інжынерыі програмнае апаратуры, праектуючы, што да 2027 года 70% арганізацыяў, якія маюць команды з розрабоцы платформ, увялі функцыі GenAI у своі внутрашнія платформы для разработчыкаў.

DORA таксама падкрэпляе гэта: якосць платформы значна вялічыць тое, чы розпрацоўка AI даскладзе арганізацыйныя показнікі, чы проста створыць „хаос у наступных етапах“.

Куды пераходзіць цяньво

Гэтыя змены маюць значныя наследкі для всей тэхналогічной індустрыі.

У першай хвале навкола генератыўнага AI большая частка увагі была спрямована на аднае пытанне:

Калькольны асистэнт – калі лепшы?

Гэтае пытанне застаецца актуальным.

Але разам з яным вырастае ўжо большая, корпаратыўная пытанне:

Хто кантролюе процес пераходу ад ідеі, створанай AI, да доверлівага програмнага забавы?

Самэнтычнае месца, дзе зараз сфокусавана вялічынная цэнна. Разглядзім прынятыя ў гэтым процесе этапы:

Кодаванне з адказовай інтэлігенцыяй

Інструменты такія як Copilot, Claude Code, Cursor і іх аналогі.

↓

Джэральны код і саўмешчанне

Платформы такія як GitHub, GitLab і Bitbucket.

↓

Безпека

SAST, SCA, сканаванне секрэтных дадзеных, безпека контейнероў і безпека ланцуга саплаводзення.

↓

Кантроллі рэзультатаў

Пакеты, контейнеры і записі пра паводзкі.

↓

CI/CD

Автаматызаванае стварэнне, тэставанне і развяртанне.

↓

Платформы хмары

Інфраструктура і сераўысы выканання.

↓

Магчымасць абзірвання

Логі, метрыкі, трэйсы, інцыдэнты і даны пра роботу продакшна.

↓

Рэгуляванне

Палітры, затверджэння, лёгкія аудыту і дакументацыя пра салідарнасць.

Тая платформа, якая зможа аб’еднаваць гэтыя элементы, стане надзвычайна стратэгічная.

Будучынё: разрабоўцы стануць оркестрарамі

Гэта не значыць, што ролі разрабоўца зникнуць.

Змінюецца тое, чым на самай працы займаецца разрабоўка ў кожны дзень.

Большасць разрабоўцаў зараз прыкладзае большую частку своего часу на напісанне логіки рэалізацыі.

У будучынё ўвесь час будзе прыкладзацца да ролі оркестрарама інтэлектуальных систем.

Уместо таго, каб сказаць машыне:

Напісайце гэтую функцыю.

інжынер будзе чащэ казаць:

Створыце гэтую можлівасць.

Штучны інтэлект будзе адпавядаць за стварэнне рэалізацыі.

Увага чалавека спрямоўваецца на ацэнку выбораў у галузі архітектуры, бізнес-правіл і рызыкаў.

Агенты безпекі шукаюць слабасці.

Агенты тэставання паўтараюць, што прыемнае поведанне ўсё правільна.

Агенты развяртання керуюць механізмамі запуску.

Агенты стазіравання стежаць за системай пасля таго, як яна запускаецца у рэальным часе.

Вядомае становішча – старанна кантролюваць систему в цэлым, а не складаць яе часткамі.

Gartner таксама зробіў падобную прагнозацыю, після якой развіяўцы будуць пераходзіць да оркестрацыі, формулювання проблем, проектавання систем і перакананняся, што рэзультаты, створаныя AI, дасклалі спадзяванні ў паўнай якосці.

Інжынеры DevSecOps таксама змінююцца

Функцыя DevSecOps таксама змінюецца ў падобным напрамку.

Цяжкае заведамства традыцыйна включала:

• Стварэнне пайплайнаў
• Тырджаванне Jenkins
• Канфігурацыя сканераў

Кантролл размешчэння скрыптаў

Раслучванне проблем у сэраўысах

Гэта все частаяе значэнне включае такія аспекты:

• Проектаванне платформ, якія доставляюць програмнае забезпечэнне ад початку да канца
• Стварэнне правілаў, на якіх апыраецца весь арганізацыйны лад
• Напісанне правілаў безпекі, якімыя павінны рашацца агенты
• Кантролл таго, што могуць рабіць автонамныя агенты для кодавання
• Проектаванне систем, якія сама ствараюць рашэння ў замест на чаканне людзя
• Відстэйкванне таго, звядзе на самай працэ ўсі элементы програмнага забезпечэння
• Стварэнне спільных шаблонаў, якія команды могу перыварыць уместа таго, каб прачынаць з нуля
• Канкрэтныя вылічэння таго, які рызык у інжынерыі несе арганізацыя
• Падтрымка надзеянай роботы автонамных систем для размешчэння

Іншымі словамі:

Робота спецыяліста з DevSecOps больш не заключаецца у падтрыманні працяйчых процесаў, а становіцца працэю над стварэнням слоя кантролю, які керуе програмнамым забавам, створаным са адказу AI.

Змены ў безпеці: з контрольнага пункту на захоўнай бар’ер

У большасці організацыяў сёння безпека функцыонуе як контрольны пункт.

Аддзел развіцця завершае якую-небудзь роботу.

Аддзел безпекі яе пераглядае.

З’яўляецца проблема.

Аддзел развіцця яе лагодзіць.

Аддзел безпекі знову яе пераглядае.

Такі цикл стае непрактычным, калі AI значна прышвартавае шваль развіцця па адносу да колышніх стандартаў.

Модель, якая заменяе ўсё гэта, выглядае так:

Палітыка → Автоматызацыя → Пастаяе выкананне

Команды безпекі разам запісваюць правіла.

Платформа пасля чаго неперывна ўжывае гэтыя правіла, не чакаючы ў кожны раз на падтверджэння ад чалавека.

Ось як гэта выглядае на практыцы.

Правіла: Жадны АПІ, які ўведзены ў інтэрнет, не можа працаваць без аутентыкаціі.

Агент AI выкладае АПІ, у якогу не ўключена гэта пераканальніца.

Платформа DevSecOps негайна заўважвае гэта.

Размешчэнне програмы аўтаматычна блакуецца.

Агенту для напісання коду дакладна паведамляецца прычына.

Агент для напісання коду вылечвае АПІ.

Працююць тэсты знову.

Тепер правіла безпекі супярэчыць.

Процес размешчэння продовжваецца.

Ніхто з команды безпекі не пераглядаў гэта вручную.

Протыма політыка дотрымвалася ў кожны момент процесу.

Гэта і є справжняя корысть від DevSecOps на адной з АІ.

Чаму корпорацыі можа ўзяць больш грошай на DevSecOps, а не меней

Лёгка ўявіць, што АІ дазволіць компаніям обходзіцца меншым коллекцам інструментоў і меньшымі виткамі на інфраструктуру інжынерыі.

У критычных частках тэхналогічнага стаку працоўнае правіла ўсупершцы.

Штучный інтелект дазваляе організацыям ствараць значна большую колькасць програмнага забезпечэння, чым раней.

Але кожны новы дапрацоўнік таксама прыносіць за сабой роўна столькі ж наследкав: ўсё новыя API, якія трэба розкрыць, ўсё новыя контейнеры, якія трэба запусціць, ўсё новыя наборы залежнасцей, якія трэба стежыць, большыя ресурсы хмары, якія трэба выдазваць, ўсё новы раунд сканавання на абяцоўку безпекі, ўсё новая процедура развяртання, якую трэба кераваць, дадатковыя даны для аналізу, новыя вразлівасці, якія трэба практычнаўцы, а таксама дадатковыя доказы салідарнасці, якія трэба збираты і хаваць.

Корача, большая колькасць програмнага забезпечэння ў эксплуатацыі проста значыць больш усьго таго, што трэба стежыць, пераканвачваць і робіць надзеяным.

У пакульных даследжэннях GitLab у сферы DevSecOps уже было выявлена, што спецыялісты па безпеке абалоўваюцца тым, што код, створаны за дапамой AI, паўзрастіць ўжо так вялікі обсяг іх роботы, а даследжэння 2026 года паказвае так званы «парадокс эфектыўнасці AI», калі шырэйша выдача коду ў поўнай зусімнасці разам з несумелымі інструментамі можа стварыць новыя прычыны затрымакоў пазней у процесе розработкі.

Таму эканамічныя падходы пераходзяць ад:

Адплата людзям галоўная за стварэнне коду

до:

Адплата за платформы, якія можаюць безпечна кераваць вельмі большым обсягам програмнага кода.

Просты прыклад

Ось конкрэтны прыклад.

Уявіце, банку патрэбна новая функцыя:

Даўаць кліентам можлівасць заблокаваць свою кредытную картку пры помocy мобільнага додатка.

Учора

Менеджер продукту пішаў тэрміны розработкі.

Разрабоўка стварыла API.

Той разработчык пісае код.

Колега яго пераглядае.

Спецыяліст з аптэстаў стварае набор тэстаў.

Спецыяліст з абеспекі выканае сканавання.

DevOps складае цэлы процес разработкі.

Аддзел аператыўнага кіравання займаецца запускам.

Усё гэта можа зайняць дні або тыяжы для завершэння.

Завтра

У замене менеджер продукту пісае:

"Нехай аутентыфікаваныя кліянты моглі заморажваць і розморажваць картку, фіксаваць кожную дзеянне для аудыту і паведамляць кліента, калі гэта адбываецца."

Інжынер берае гэтыя вакансіі і працуе над ямі.

Гэта дае:

• API
• Змены ў базе дадзенаў
• Бізнес-логіку
• Тэсты на адзінкі элементы
• Тэсты API
• Змены ў інфраструктуре
• Дакументацыю

Гэта можа зайняць калькі хвілін.

Тепер у гэты процес включаецца платформа AI DevSecOps.

Апаратна логіка з’являе, што ШІ працяў без неабходнай перапалні автарызацыі на новым канцэнтры.

Агент безпекі: БЛОКУЯЦЬ.

Таксама выявляецца, што няўзятая бібліятэка з відкрытым кодам мае критычную вядомую слабасць.

Палітыка ланцуга саплывоў: БЛОКУЯЦЬ.

Агент для кодавання заменяе яе на болей безпечную залежнасць.

Працуюць тэсты зноў.

Агент тэставання: ПРАЎЖНЕ.

Платформа падтверджае, што шифраванне, логаванне і аутентыкацыя ўсе належна працуюць.

Палітыкі са адпаведнасцю: ПРАЎЖНЕ.

Дзеянне дапытку адправляецца у тэстовае сераўернае сяродавышча.

Проты яго адбываюцца сінтэтычныя транзакцыі, каб імітаваць рэальнае выкарыстанне.

Параболічная перапална: ПРАЎЖНЕ.

Праз метод «канарэйскага розвітку» невялікая частка, напрыклад 5%, рэальнага трафіку адправляецца да новай версіі.

Аналіз паказвае, што у колькасці бягаў не є нічога незвычайнага.

З’ўзджанне навантажэння адбываецца паступова, пакуль яно не дасягне всіх.

Эта функцыя вже працюе.

Усі этапы залишаюць пачатковую інформацію для аудыту:

Трэбаванне → АІ-агент → Код → Залежнасці → Тэсты → Рашэнні па безпеку → Апраўлення → Размешчэнне → Доказы часу выканання

Гэта і є практычны прыемліванне AI DevSecOps.

А тут сама цікавая частка.

Стварэнне коду на самай працоўнае было.

Цінным была сама система, якая могла адпаведзець з упэўненасцю:

Чы гэты програмны продукт справды гатовы да выводу ў працэс?

Большыя змены

Працоўна дзеяння ў галіне AI у інжынерыі програмнаў пераважна былі сфокусаваныя на аднай роцэ: роботе разработчыкаў.

На сколькі швэдзейша AI можа зробіць тых, хто пішчыць код?

Гэты вопыт пачато здаецца занадта обмежаным.

Большы вопыт заслуговае на большэй увагі:

Што будзе, калі стварэнне програмнага апарату перестане быть дзефіцитным ресурсам?

Калі код стане многабутным, організацыям на самай справе патрэбны способы стварэння довяры тым жа шырокім темпам, калі пішыцца код.

Это значыць тэставанне.

Безпека.

Контроль ланцоўка апстачкі програмнага апарату.

Управлінне.

Автаматычнае выкананне правілаў.

Автаматызацыя развертання.

Следжыранне систем у працэсе выканання.

Відстежэнне таго, звядзе на самай справе походзіць работа, створаная за дапамой AI.

І, ўсё больш, рашэнне проблем без чакання на людзіна.

Разам гэтыя элементы ствараюць наступную пакоління DevSecOps.

Першыя этапы выкарыстоўвання ШІ ў інжынерыі програмнаў былі пераважна спрямованы на падтрымку людзей у шырэйшым стваранні коду.

Наступны этап — на возможнасці для людзей і агентаў ШІ разам, без пахідных рызыкаў, кераваць цэлымі заводамі практычнага програмнаўскага забезпечэння.

Якща адносіцца да гэтага падходу, DevSecOps — это не функцыя, якая працюе пасля разработкі і толькі ўпорядкуўвае рэзультаты.

DevSecOps стае планам керавання, на яком працюе весь завод практычнага програмнаўскага забезпечэння, керованы ШІ.