Latest / Entre Chaves / Ferramentas de IA para validação de código seguro

Transcript

Ferramentas de IA para validação de código seguro · Entre Chaves

• 0:02
  Você tem ferramentas ali para monitorar o de forma mais
• 0:05
  automática, com algumas regras, definem do código que você está
• 0:08
  gerando ali. Eu acho que é é uma boa você ter
• 0:10
  linnter, né? É no seu código, o próprio
• 0:13
  sonário é, eu uso Oo easlimt, por exemplo, No No código que
• 0:17
  está sendo gerado. A gente separou um scriptzinho
• 0:19
  que ele atua em cada commit, então o commit é mais demorado,
• 0:22
  mas ele roda, o easlimt, roda todos os testes, é automatizados
• 0:25
  que a gente tem. É relacionados àquele código que
• 0:28
  está sendo alterado, então tem uma série de validações que é
• 0:30
  feita, você pode colocar ferramentas de sast ali para
• 0:33
  atuar no código que está sendo escrito e depois, quando você
• 0:37
  sobe isso para um pipeline, pode usar ferramentas de dast também
• 0:40
  para poder é atacar o ambiente de testes e procurar
• 0:44
  vulnerabilidades. Tem tem isso também, e o sonar
• 0:47
  também no pipeline também é interessante, contanto que você
• 0:50
  padronize as regras do seu linter e do sonar para que eles
• 0:53
  não achem coisas diferentes. Você não tenha retrabalho, né?
• 0:56
  Então são. Com práticas interessantes que
• 0:58
  você pode adotar? Conforme o Rafa falou, né?
• 1:00
  Oo segredo fica bem na operação, da mesma forma que era geração
• 1:04
  de código manual, então a gente reforça essas práticas.
• 1:07
  De validação de código, além da validação humana, né?
• 1:09
  E reforça ainda mais a validação humana, a validação em dupla,
• 1:13
  né? Um cold review ali para garantir
• 1:15
  que A Entrega vai ser funcional. E eu acho que talvez completando
• 1:18
  até um pouco mais a resposta dos meninos, eu acho que trazer o
• 1:22
  lado OA tema segurança para o início do desenvolvimento ali
• 1:25
  no, no momento que a gente está descrevendo o nosso prompt ali,
• 1:28
  na hora que a gente está descrevendo nossas atividades, e
• 1:31
  trazer isso para o início, eu acho que.
• 1:33
  Já garante a na hora de passar para ya na hora de eu fazer o
• 1:37
  meu, o meu vive in code corporativo.
• 1:39
  Eu ter algo já porque ela olhou para aquele tema, olhou para
• 1:43
  aquele lado ali. Talvez um exemplo do do Rafael é
• 1:45
  adicionar isso da memória do meu projeto, algumas práticas ali.
• 1:49
  O que? O Breno citou também dos
• 1:51
  packdriving development. Muitos, muitos deles, né?
• 1:54
  Vou colocar aqui o espec kit, por exemplo, mas enfim, muitos
• 1:56
  deles tem também dentro dos seus próprios prompts.
• 2:00
  Requisitos de segurança que eles também não deixam passar, né?
• 2:03
  No sentido assim de de fazer minimamente refletir sobre eles
• 2:07
  e também esses, ou seja, esses premium que nos ajudam também
• 2:09
  bastante para fazer isso que você falou, Igor de levar, né?
• 2:12
  A segurança para especificação, mas um negócio muito
• 2:14
  interessante que você falou mesmo que eu não queria deixar
• 2:16
  passar era a operação do time. A importância que a gente mesmo
• 2:20
  com Vibe coding com né, que a gente tá chamando aqui de
• 2:23
  ideving development ou né? Quando a gente nem tinha, IA a
• 2:27
  operação do time. Sempre foi muito importante.
• 2:30
  Aqui na dti a gente tem o dti flow, que é o jeito que a gente
• 2:32
  expressa, né? Como um time deve operar no seu
• 2:35
  dia a dia? E isso aí não perde valor, né?
• 2:38
  Não perde relevância porque existem certas tarefas que
• 2:42
  continuam sendo muito importantes, de revisão, de
• 2:45
  pareamento, né, de repasse de entendimento.
• 2:49
  Tudo isso que são princípios que lá atrás eram importantes,
• 2:53
  continuam sendo importantes. Então não adianta a gente achar,
• 2:56
  né, que um time vai ser extremamente veloz.
• 2:59
  Se a operação dele está horrível, né?
• 3:01
  Porque no final das contas ele pode até ser veloz, mas ele vai
• 3:03
  ter, vai provavelmente enfrentar um tanto de problema, né?
• 3:07
  Se ele não tiver cercando esses problemas operacionalmente, né?
• 3:11
  Se ele não tiver fazendo uma boa revisão de código, e se ele não
• 3:14
  tiver ferramentas, que né, instrumentam um paper line dele
• 3:18
  se ele não tiver preocupado com a qualidade.
• 3:20
  Né? Acho que OOO Vibe coding ele ele
• 3:22
  usado com segurança. Ele atua ali na camada do
• 3:24
  desenvolvedor de gerar o código, mas somente todo o processo de.
• 3:29
  Coisas que a gente tem igual a Fernandinha citou, são
• 3:31
  importantes, até porque são precauções para problemas já
• 3:34
  conhecidos que a gente já sabe que se se não for por esse
• 3:38
  caminho, vai dar problema. Tem alguns estudos mostrando que
• 3:41
  o código da IA gerado eles. Tem uma certa assinatura ali que
• 3:46
  as ferramentas hoje de ataque de hackers estão conseguindo
• 3:49
  detetar, pô, esse código aí ele foi gerado por IA.
• 3:51
  Então assim, a forma do atacante antes pegar um sistema comum e
• 3:56
  explorar ele era uma. Agora com a IA ele já consegue
• 3:58
  automatizar a forma dele procurar vulnerabilidade, porque
• 4:02
  ele sabe o que que mais ou menos aí a aí a vai gerar esse esse
• 4:05
  código que aí a gera é é amplo ou aberto para todo mundo, então
• 4:09
  tem vulnerabilidades e agora tá mais fácil de explorar.
• 4:11
  Então a velocidade que. Você programa hoje em dia também
• 4:14
  a velocidade que o seu sistema pode ser hackeado.