Investigating Security Implications of Automatically Generated Code on the Software Supply Chain

## Контекст В последние годы атаки на поставку программного обеспечения (Software Supply Chain, SSC) стали вызывать всё большую озабоченность в мировой сфере. Такие атаки могут привести к серьёзным последствиям, если разработчики внедрят небезопасный или уязвимый код в свои продукты. Особенно актуальным становится вопрос внедрения кода, сгенерированного с помощью машинного обучения и генеративных технологий. Отдельно стоит выделить широкое применение технологий типа Large Language Models (LLMs) в процессе разработки программного обеспечения. Несмотря на их полезность, LLMs имеют недостатки, включая фабрикацию информации, искажение данных и зависимость от устаревшего тренировочного корпуса. Все эти недостатки могут привести к повышению риска SSC-атак. В данной статье рассматривается ряд технических проблем, связанных с рисками для поставки программного обеспечения, возникающих из-за ограничений LLMs. ## Метод Для изучения проблемы было разработано инструмент SSCGuard, которое основывается на 439,138 сгенерированных запросах, органиченных к вопросам, связанным с поставкой программного обеспечения. Этот инструмент был применён для анализа ответов, полученных от четырёх популярных LLMs, включая модели GPT и Llama. В результате были определены три категории угроз, касающиеся использования LLMs в процессе разработки, включая угрозы, связанные с внешними компонентами и конфигурационными файлами непрерывной интеграции. Анализ результатов позволил выявить потенциальные угрозы, которые могут позволить злоумышленникам контролировать процессы разработки и скрыть угрозы, которые могут привести к последствиям в будущем. ## Результаты Исследование показало, что все выявленные угрозы, связанные с поставкой программного обеспечения, остаются актуальными при использовании LLMs. В частности, было выявлено, что LLMs могут фабрицировать код, что приводит к наличию вредоносных фрагментов в программном обеспечении. Были также выявлены ситуации, в которых LLMs распространяют неточные данные, что может привести к последующим уязвимостям в системах. Изучение этих угроз позволило понять, что они могут позволить злоумышленникам захватить управление программным обеспечением, а также создать угрозы, которые могут вызвать последствия в дальнейшем. ## Значимость Результаты этого исследования имеют значительное значение для сферы безопасности информационных технологий. Они могут использоваться для создания более безопасных систем разработки и управления программным обеспечением. Одним из ключевых преимуществ модели является возможность снизить риск внедрения уязвимого кода в SSC