编程语言多样性在软件开发中引发安全担忧

在其最近发布的《2024年软件供应链现状》报告中，领先的软件供应链平台提供商JFrog揭示了行业格局的关键见解。该报告于3月19日发布，结合了来自7,000多家使用JFrog Artifactory的组织的数据、JFrog安全研究团队的原始CVE分析以及对全球1,200名技术专业人士的全面调查。

安全领域的AI和机器学习

JFrog的报告强调了AI和机器学习（ML）工具在加强软件供应链安全措施中的普遍使用。根据调查结果，90%的受访者使用AI/ML驱动的工具来辅助安全扫描和修复。然而，用于代码编写的生成式AI的采用率仍然相对较低，只有32%的受访专业人士表示在其组织中使用。

AI/ML在安全与代码生成方面的采用差异表明，开发人员对AI生成代码中固有的潜在漏洞持谨慎态度。这种谨慎的态度突显了企业软件开发中创新与安全之间的关键平衡。

安全实践与挑战

报告揭示了组织面临的不断演变的安全实践和挑战。值得注意的是，近一半的受访者（47%）报告称使用了四到九个应用程序安全解决方案，而三分之一的人表示使用了10个或更多此类解决方案。然而，尽管采取了这些积极措施，安全担忧仍严重影响生产力。

约40%的受访参与者表示，获得使用新包或库的批准通常需要一周或更长时间，这凸显了阻碍敏捷开发实践的官僚障碍。此外，安全团队花费约25%的时间来修复漏洞，突显了维护软件完整性的资源密集型性质。

CVE分析和编程语言多样性

JFrog安全研究团队对常见漏洞和暴露（CVE）的分析揭示了有趣的见解。拒绝服务（DoS）攻击成为主要的威胁向量，近一半（48.9%）的分析CVE存在此类攻击的潜力。相比之下，只有18.9%的CVE表现出远程代码执行的潜力，这是一个有利发现，因为后者的影响可能更为严重。

此外，报告突出了CVE严重性的细微性质，JFrog安全研究团队在分析后将85%的关键CVE和73%的高CVE的平均严重性降级。这突显了全面漏洞评估和缓解策略在保护软件完整性方面的重要性。

此外，报告强调了软件开发环境日益复杂的复杂性，超过一半（53%）的组织使用四到九种编程语言。此外，31%的受访组织报告称使用超过10种编程语言，反映了现代软件开发中普遍存在的多样化技术格局。

JFrog的《2024年软件供应链现状》报告全面概述了塑造软件供应链格局的当前趋势和挑战。AI和机器学习驱动的安全工具的广泛采用凸显了行业加强网络安全的承诺。然而，对AI生成代码的谨慎态度突显了创新与安全之间持续存在的对话。

随着组织在不断演变的威胁格局中导航并拥抱多样化的编程语言，积极的安全实践和强大的漏洞管理框架仍然至关重要。通过整体解决这些挑战，组织可以加强其软件供应链，并在日益数字化的世界中有效降低风险。