LLM时代构建软件的3个最佳实践

随着AI变革编码速度，开发者需要新的安全习惯。了解这些习惯以及如何在DevSecOps工作流中部署它们。

AI已迅速成为现代软件开发的核心部分。它不仅帮助开发者以前所未有的速度编码，还能自动化低级任务（如编写测试用例或总结文档）。根据我们的2024年全球DevSecOps调查，81%的开发者已在其工作流中使用AI或计划在未来两年内使用。

随着代码编写所需的手动操作减少，我们观察到一个微妙但重要的行为变化：开发者开始以更少的审查信任AI生成的代码。这种信任（尽管可以理解）可能悄然引入安全风险，尤其是在代码总量增加的情况下。开发者不可能掌握所有漏洞或攻击方式，因此我们需要可扩展的系统保障。AI工具将长期存在，作为安全专业人员，您有责任赋能开发者以兼顾速度和安全的方式使用它们。

以下是三种实践方法：

永不信任，始终验证

如前所述，开发者开始更轻易信任AI生成的代码，尤其是当代码整洁且编译无误时。为应对此问题，需采用零信任心态。虽然零信任常用于身份和访问管理领域，但其原则稍作调整后同样适用此处。将AI生成的代码视为初级开发者的提交：有用，但未经适当审查不能直接投产。

开发者在合并代码前应能解释其功能及安全性。审查AI生成代码甚至可能成为软件开发领域的新兴必备技能。擅长此道的开发者将不可或缺，因为他们能融合LLM的速度与风险控制思维，更快地产出安全代码。

为安全模式设计提示词

大语言模型（LLMs）虽强大，但其精确度取决于提示词质量。因此提示词工程正成为使用AI工具的核心能力。在LLM领域，您的输入即接口。掌握编写清晰且具备安全意识的提示词的开发者，将从源头助力构建更安全的软件。

例如："构建登录表单"这类模糊请求常产生不安全或过于简化的结果。而增加上下文如："构建带输入验证、速率限制、哈希处理的登录表单，并支持通行密钥等防钓鱼认证方法"，则更可能生成符合企业安全标准的输出。

Backslash Security的近期研究证实了这点：安全提示词能提升主流LLM的输出质量。当开发者仅要求"编写安全代码"时成功率仍低；但引用OWASP最佳实践后，安全代码生成率显著提高。

提示词工程应纳入开发团队安全能力培训。正如我们教授安全编码模式和威胁建模，开发者同样需要学习如何以安全思维引导AI工具。

全量扫描，无一例外

AI的兴起意味着在人力不变的情况下，我们正更快地产出更多代码。这种转变要求我们将安全视为持续嵌入开发全流程的保障，而非最终检查环节。

代码量增加意味着攻击面扩大。当代码部分或全部由AI生成时，仅靠安全编码实践或个人直觉无法全面识别风险。此时自动化扫描工具成为关键防线：静态应用安全测试(SAST)、软件成分分析(SCA)和密钥检测能有效降低密钥泄露、供应链攻击和SQL注入等风险。通过极狐GitLab等平台，应用安全原生集成至开发者工作流，使其成为开发生命周期的自然环节。扫描器还能追溯整个程序，确保新AI代码在现有代码环境中的安全性——这在IDE中仅查看片段时难以实现。

但关键不仅在于扫描，更在于同步提速。开发团队要匹配AI辅助开发的速度，就需要快速、准确且可扩展的扫描方案。准确性尤为重要：若误报过多导致开发者对系统失去信任，将引发整体风险。

兼顾速度与安全的唯一途径是强制扫描机制：

每个提交。每个分支。无一例外。

用极狐GitLab保障AI生成代码安全

AI正在改变软件开发方式，但安全开发的基本原则依然适用：代码仍需审查，威胁仍需测试，安全仍需嵌入工作流程。这正是极狐GitLab的实践方向。

作为开发者平台，我们并非将安全生硬添加至工作流——而是直接嵌入开发者现有工作场景：IDE、合并请求和流水线。扫描自动运行，相关安全信息实时呈现以加速修复周期。由于它与开发、测试、部署环境同属一个平台，工具切换更少，上下文转换更轻，通往安全代码的路径更顺畅。

AI不是安全的捷径。但通过正确实践——以及契合开发者工作方式的平台——它必将助力构建快速、安全且可扩展的软件。