研究发现：人工智能生成的代码补丁有一半不合格

最近的一项研究对6,000多个由人工智能驱动的代码生成工具创建的补丁进行了分析，研究人员发现，大约有一半的补丁要么引入了新的错误，要么破坏了现有的功能，要么留下了可以被利用的绕过方法。虽然人工智能辅助开发承诺可以更快地修复漏洞，但数据表明，当前的模型仍然缺乏对安全、生产级代码更改所需的细致理解。

研究方法包括将现实世界的漏洞报告输入到几个领先的大型语言模型（LLM）中，并将生成的修复补丁与手动审查的基准进行比较。成功不仅仅取决于原始缺陷是否被解决，还取决于是否没有回归和副作用。即使是“有效”的补丁——那些解决了主要问题的补丁——也经常包含可能被威胁者利用的隐藏缺陷。研究作者警告说，未经检查地部署此类补丁可能会扩大攻击面而不是减小它。

从政策角度来看，研究结果与强调基于风险的监督的新兴人工智能治理框架相交叉。欧盟和美国的监管机构已经开始草拟人工智能生成的软件工件的要求，规定了可追溯性、文档和部署后监控。研究结果为这些提议提供了实证支持，强调了在人工智能生成的代码到达实时环境之前需要严格的验证管道。

对于组织来说，实践的收获很明确：人工智能工具应该被视为辅助工具，而不是自主工具。在没有人工审查的情况下将自动补丁集成到持续集成/持续部署（CI/CD）工作流中可能是一条通往灾难的捷径。公司必须投资于强大的测试套件、静态分析和手动代码审计，以捕获人工智能模型可能忽略的回归。

展望未来，人工智能研究社区面临着双重挑战。首先，改进模型架构以更好地理解代码的上下文依赖和副作用。其次，开发保留来源的机制，以允许审计员将补丁追溯到其训练数据和决策逻辑。直到这些进步实现之前，网络安全生态系统应该采取谨慎的态度，利用人工智能进行建议和分类，同时保留人工智能的最终批准。

总之，研究提醒人们，人工智能驱动的安全的承诺不能超过软件可靠性的现实。利益相关者——从开发人员到立法者——必须平衡快速修复的驱动力和保障代码完整性的迫切需要。

图片：Arnold Francisca / Unsplash (https://unsplash.com/@clark_fransa)