Sve učestaliji napadi na open-source komponente tjeraju tvrtke na uvođenje stroge kontrole i provjere koda
Sigurnost softverskog lanca opskrbe postala je jedna od najvažnijih tema razvoja softvera jer moderne aplikacije ovise o velikom broju open-source komponenti, automatiziranih alata, repozitorija i vanjskih paketa. Napadači sve češće ciljaju upravo te točke, jer kompromitacija jedne biblioteke ili računa za objavu paketa može otvoriti pristup velikom broju krajnjih sustava.
Razvojni timovi zato moraju uvoditi kontrole koje ranije nisu bile standardan dio svakodnevnog rada. Popis softverskih komponenti, provjera ovisnosti, potpisivanje artefakata, kontrola pristupa repozitorijima i sigurnosno testiranje u CI/CD procesu postaju osnovni elementi profesionalne isporuke. Sigurnost se više ne može rješavati tek nakon što je aplikacija spremna za produkciju.
Za poslovne korisnike važna je i odgovornost dobavljača. Kada tvrtka kupuje softver ili koristi SaaS uslugu, mora znati kako se upravlja ranjivostima, koliko brzo se izdaju zakrpe i postoji li transparentan proces obavještavanja. Ugovori koji ne pokrivaju softverski lanac opskrbe ostavljaju prazninu u trenutku incidenta, upravo kada su potrebne brze i provjerljive informacije.
Regulatorni pritisak dodatno će povećati disciplinu. Kritične organizacije morat će dokazati da razumiju svoje ovisnosti i da mogu procijeniti rizik koji dolazi iz vanjskih komponenti. To ne znači odbacivanje open-sourcea, nego zrelije upravljanje njegovom upotrebom. Otvoreni kod ostaje temelj inovacije, ali zahtijeva jasna pravila održavanja i provjere.
Na regionalnom tržištu to otvara prostor za sigurnosne alate, konzultantske usluge i edukaciju razvojnih timova. Najveću prednost imat će organizacije koje spoje DevOps brzinu s kontrolama koje ne usporavaju isporuku. Siguran softverski lanac postaje uvjet povjerenja između developera, dobavljača i korisnika.
Direktor tvrtke Gordan Palić izjavio je povodom lansiranja da su gledali kako talentirani ljudi iz Hrvatske i regije rintaju mjesecima stvarajući sjajan digitalni sadržaj, da bi ih onda preko noći uništila neka promjena algoritma u Kaliforniji, što je suludo, te da su zato htjeli stvoriti platformu gdje nitko ne stoji između autora i njegove publike.
Sigurnosni istraživači otkrili su kako je zlonamjerna datoteka AGENTS.md, neprimjetno spremljena u korisnikovu mapu Downloads, navela AI programerskog agenta da instalira lažni npm paket. Pritom glavna slabost nije bila klasičan propust modela nego automatsko povjerenje u lokalne upute pronađene u radnom direktoriju.
OpenAI je u ChatGPT-u uveo strože sigurnosne protokole kojima želi smanjiti rizik od nasilja u stvarnom svijetu i bolje zaštititi maloljetnike. Promjene uključuju dodatna ograničenja pristupa praktičnim informacijama o oružju te mogućnost automatskog prekidanja razgovora u slučajevima zabrinjavajućih obrazaca ponašanja.
